LecturaAnatomía de un correo: las cabeceras que importan
Bienvenida
Bienvenido a Análisis de phishing en 40 minutos. En una mesa de ayuda o en un SOC, "¿este correo es real?" llega varias veces por semana. Esta píldora es para responder con evidencia y no con intuición.
No necesita conocimientos previos; como base sirve Introducción a la ciberseguridad. Al terminar podrá leer las cabeceras, interpretar SPF, DKIM y DMARC, revisar enlaces y adjuntos sin abrirlos y escribir un reporte que otro analista entienda. Son tres lecciones cortas, un laboratorio con un correo ficticio y un quiz de 4 preguntas. Necesita un navegador y un editor de texto: unos 40 minutos.
Qué es el phishing y por qué importa
Phishing es el engaño en el que alguien se hace pasar por una entidad de confianza, por correo, mensaje o llamada, para sacarle claves, dinero o acceso. El nombre juega con fishing, "pescar". Sigue siendo una de las entradas más comunes en los incidentes por una razón sencilla: convencer a una persona cuesta menos que vulnerar un servidor.
Un correo tiene dos partes. Lo que usted ve (remitente, asunto, cuerpo) lo controla el atacante por completo. Las cabeceras, las líneas técnicas que agrega cada servidor al pasarlo, son más difíciles de falsificar enteras. Ahí se trabaja.
Cómo ver las cabeceras
En Outlook de escritorio: Archivo > Propiedades. En Outlook web: Ver detalles del mensaje. En Gmail: menú de tres puntos > Mostrar original. Verá texto plano. Un .eml, el mensaje guardado como archivo, se abre con cualquier editor de texto sin ejecutar nada. Cuando un usuario me reenvía un sospechoso, le pido que lo adjunte como archivo y no que lo reenvíe: el reenvío normal pierde las cabeceras originales.
Las cabeceras que importan
Fragmento de un correo que dice venir del ficticio Banco Ceiba de Costa Rica:
Received: from mail.bancoceiba-seguridad.example (mail.bancoceiba-seguridad.example [198.51.100.23])
by mx1.ejemplo.cr with ESMTP id 4F2A9C1; Tue, 13 Oct 2026 08:14:52 -0600
Return-Path: <[email protected]>
From: "Banco Ceiba - Seguridad" <[email protected]>
Reply-To: <[email protected]>
To: <[email protected]>
Subject: Su cuenta sera suspendida en 24 horas
Date: Tue, 13 Oct 2026 08:14:49 -0600
Message-ID: <[email protected]>From es lo que muestra su cliente de correo. El remitente lo escribe como quiere; por sí solo no prueba nada.
Return-Path es a dónde vuelven los rebotes y corresponde al remitente del "sobre" SMTP, el que ven los servidores. Aquí es bancoceiba-seguridad.example, distinto del From.
Reply-To decide a quién llega la respuesta si la víctima pulsa Responder. Un correo gratuito en un mensaje "del banco" quiere decir que el atacante espera respuestas.
Received es la bitácora de saltos. Cada servidor agrega su línea encima de la anterior, así que se leen de abajo hacia arriba: la más baja es el origen y la más alta, su propio servidor de entrada (el MX). Solo puede confiar del todo en la línea que agregó su servidor; las de abajo pudo escribirlas el atacante. Aquí, mx1.ejemplo.cr recibió el mensaje desde 198.51.100.23, que se presenta con el dominio sospechoso.
Message-ID suele delatar el sistema que generó el mensaje. Si su dominio no coincide con el From, anótelo.
La comparación de los tres dominios
Ponga lado a lado From, Return-Path y Reply-To. En un correo legítimo suelen ser de la misma organización o de un proveedor de envío conocido. Tres dominios que no tienen nada que ver entre sí ya son motivo para escalar.