Un correo que suplanta a un proveedor, una cuenta de administración sin doble factor o una regla de reenvío creada por un atacante pueden causar un problema operativo serio sin necesidad de vulnerar un servidor. La búsqueda de cómo auditar seguridad correo suele empezar después de recibir un email sospechoso. Es mejor hacerlo antes, con una revisión ordenada que permita saber qué está expuesto, quién puede acceder y qué ocurriría si una cuenta cae.
El correo corporativo concentra presupuestos, facturas, contraseñas restablecidas, datos de clientes y conversaciones internas. Para una pyme, no es solo una herramienta de comunicación: es una pieza crítica de la operación. Auditarlo no consiste en pasar un test automático y marcar una casilla. Consiste en revisar configuración, identidades, dominio, hábitos y capacidad de recuperación para encontrar fallos concretos y priorizarlos.
Qué debe revisar una auditoría de seguridad del correo
Una auditoría útil empieza por delimitar el alcance. Hay que saber qué dominios usa la empresa, qué plataforma de correo tiene contratada, cuántas cuentas existen, si hay buzones compartidos y qué aplicaciones externas envían mensajes en nombre del dominio. Muchas incidencias nacen precisamente de ese inventario incompleto: una antigua cuenta de empleado, un dominio que ya no se usa o una impresora que envía avisos con una configuración olvidada.
También conviene separar dos niveles. El primero es técnico: accesos, autenticación del dominio, reglas de correo, registros y copias. El segundo es operativo: quién administra las cuentas, cómo se dan de alta y baja los empleados, cómo se valida un cambio de cuenta bancaria de un proveedor y qué hace el equipo ante un mensaje dudoso. Una configuración correcta pierde eficacia si la empresa aprueba pagos a partir de un correo no verificado.
El resultado no debería ser un informe lleno de términos que nadie entiende. Debe indicar qué se ha revisado, qué hallazgos tienen más impacto, qué evidencia los respalda y qué correcciones aplicar primero. No todos los fallos tienen la misma urgencia: una cuenta administrativa sin MFA requiere atención antes que una etiqueta de clasificación mal configurada.
Empiece por las cuentas, permisos y accesos
Revise la lista real de usuarios. Compare los buzones activos con la plantilla, los colaboradores externos y las cuentas de servicio. Las cuentas de antiguos empleados, proveedores temporales o departamentos cerrados deben desactivarse o tratarse expresamente. Mantenerlas abiertas por si acaso es una decisión cómoda, pero amplía innecesariamente el número de puertas de entrada.
Después, identifique las cuentas con privilegios de administración. En empresas pequeñas es habitual que el gerente, una asesoría, un técnico externo y un empleado de confianza tengan permisos elevados sin que exista un listado actualizado. Debe quedar claro quién administra usuarios, dominios, licencias, dispositivos y políticas de seguridad. Los permisos deben ser los mínimos necesarios para cada función.
La autenticación multifactor es el siguiente punto crítico. Debe estar activada, especialmente para administradores y cuentas con acceso a facturación, dirección o datos sensibles. No basta con que esté disponible: hay que comprobar que se exige realmente y que no existen excepciones heredadas. Cuando sea posible, los métodos basados en aplicación autenticadora o llave física reducen algunos riesgos frente al SMS, aunque la elección depende del tamaño de la empresa y de la capacidad del equipo para gestionarlos.
Revise asimismo los protocolos antiguos de acceso y las contraseñas de aplicaciones. Algunos equipos multifunción, programas de gestión o dispositivos móviles pueden usar métodos que eluden el doble factor. A veces hace falta mantener una excepción temporal para no parar un proceso de negocio, pero esa excepción debe documentarse, limitarse y sustituirse por una integración más segura cuando sea viable.
Compruebe inicios de sesión y dispositivos
Los registros de acceso sirven para detectar patrones que no encajan: intentos fallidos repetidos, sesiones desde ubicaciones inusuales, accesos fuera del horario habitual o nuevas aplicaciones autorizadas. No se trata de perseguir cada alerta aislada. Se trata de identificar qué actividad requiere explicación y si la empresa tiene visibilidad suficiente para investigarla.
También hay que revisar los dispositivos vinculados. Un portátil perdido con una sesión de correo activa no tiene el mismo impacto si se puede bloquear, cifrar o cerrar la sesión remotamente. Las opciones disponibles varían según la plataforma contratada, pero la auditoría debe comprobar cuáles están activas y quién puede utilizarlas.
Audite la seguridad del dominio: SPF, DKIM y DMARC
Cuando un delincuente suplanta el dominio de una empresa, el destinatario puede recibir un correo aparentemente legítimo desde una dirección conocida. SPF, DKIM y DMARC son tres mecanismos que ayudan a reducir ese problema. No son una garantía absoluta contra el fraude, pero su ausencia o mala configuración facilita la suplantación.
SPF define qué servidores pueden enviar correo en nombre del dominio. La revisión debe confirmar que incluye los servicios reales de envío: la plataforma de correo, formularios web, herramientas de facturación, CRM o campañas autorizadas. Un SPF incompleto puede provocar entregas fallidas; uno excesivamente permisivo puede permitir usos no deseados. Además, tiene límites técnicos que conviene validar para evitar que deje de funcionar por exceso de consultas.
DKIM añade una firma criptográfica a los mensajes salientes. La auditoría debe confirmar que está activo en los servicios que envían correo, que la clave publicada corresponde a la configuración actual y que se usan claves adecuadas. Activar DKIM solo en el correo de empleados mientras el sistema de facturación sigue sin firmar deja una parte del problema abierta.
DMARC establece qué debe hacer el receptor cuando SPF o DKIM no validan correctamente y permite recibir informes sobre el uso del dominio. Empezar con una política de monitorización puede ser sensato si hay muchas aplicaciones enviando correo y no se conoce aún su configuración. Sin embargo, quedarse indefinidamente en modo observación ofrece poca protección. El avance hacia políticas más estrictas debe hacerse tras analizar los envíos legítimos, porque bloquear un servicio comercial o un aviso de reservas puede afectar a la operación.
Revise reglas de reenvío, delegaciones y aplicaciones conectadas
Una cuenta comprometida no siempre se usa para enviar spam. A menudo el objetivo es leer conversaciones sin levantar sospechas. Por eso las reglas de reenvío automático merecen una revisión específica. Busque redirecciones a direcciones externas, filtros que ocultan mensajes, reglas que mueven correos de facturas a carpetas poco visibles y cambios recientes en buzones sensibles.
Las delegaciones y los buzones compartidos requieren el mismo control. Un acceso delegado puede ser necesario para administración o atención al cliente, pero debe tener un responsable y revisarse cuando cambian los puestos. Si varias personas usan una contraseña común para un buzón genérico, la empresa pierde trazabilidad. Es preferible otorgar accesos individuales y revocables.
Por último, compruebe las aplicaciones que han recibido permiso para acceder al correo, calendario o contactos. Una integración legítima puede dejar de serlo cuando cambia el proveedor, termina un proyecto o un empleado abandona la empresa. Retirar permisos que ya no aportan valor reduce exposición sin alterar el trabajo diario.
El filtro antiphishing ayuda, pero el proceso de pago decide
Los filtros de spam y antiphishing deben revisarse, sobre todo sus políticas de cuarentena, listas de permitidos y protección frente a suplantaciones de directivos o dominios parecidos. Añadir un dominio a una lista blanca para resolver un problema puntual puede anular controles útiles. Cada excepción debe tener motivo, propietario y fecha de revisión.
Aun así, ningún filtro elimina todos los mensajes fraudulentos. La parte decisiva es el procedimiento interno. Un cambio de IBAN, una solicitud urgente de transferencia o una petición de credenciales no debería validarse solo por email. Una llamada a un número ya conocido, una doble aprobación o una confirmación desde el contacto habitual pueden cortar un fraude que ha superado los controles técnicos.
La formación útil no consiste en enviar una presentación anual y dar el tema por cerrado. Debe enseñar casos que el equipo reconoce: facturas, pedidos, avisos de paquetería, solicitudes de dirección o comunicaciones de proveedores. También debe aclarar cómo reportar un mensaje sospechoso sin que el empleado tema quedar mal por preguntar.
Copias, retención y recuperación: la prueba que casi nadie hace
Muchos responsables asumen que su proveedor de correo equivale a una copia de seguridad completa. No siempre es así. La disponibilidad del servicio, la papelera, la retención y una copia independiente son conceptos distintos. La auditoría debe revisar qué se conserva, cuánto tiempo, quién puede restaurarlo y qué ocurre ante un borrado masivo, un ransomware en un equipo sincronizado o la salida de un empleado.
No basta con tener una política escrita. Hay que probar una restauración controlada de mensajes, contactos o un buzón dentro de un alcance seguro. Esa prueba revela si existen permisos, licencias, procedimientos y tiempos razonables para recuperar información. También permite detectar si se están guardando datos durante más tiempo del necesario, con el coste y la exposición que ello implica.
Convierta hallazgos en un plan ejecutable
Una auditoría pierde valor si termina en recomendaciones genéricas como “mejorar la seguridad”. Cada hallazgo debe traducirse en una acción concreta: activar MFA para un grupo definido, cerrar una cuenta, corregir un registro DNS, eliminar un reenvío, revisar permisos o formalizar la verificación de pagos. Conviene asignar responsable, prioridad y evidencia de cierre.
En una pyme, el orden habitual es sencillo: primero proteger cuentas administrativas y accesos, después corregir la autenticación del dominio, eliminar reenvíos y permisos innecesarios, y finalmente reforzar procesos y recuperación. El orden puede cambiar si existe un indicio concreto de compromiso o una dependencia operativa que exige planificar el cambio.
La seguridad del correo no se resuelve con una compra ni con una política copiada de otra empresa. Se mantiene cuando cada cuenta, cada envío y cada excepción tiene una razón conocida. La pregunta útil no es si el correo está “protegido”, sino si usted puede explicar hoy quién accede, qué puede hacer y cómo recuperaría la información si algo sale mal.
