Retarus advierte sobre una vulnerabilidad que permite a los atacantes suplantar a remitentes de e-mail y esquivar las pasarelas de seguridad corporativas  

Muchas organizaciones no dependen únicamente de las protecciones nativas de Microsoft 365 para blindar su correo electrónico entrante: añaden pasarelas de seguridad de correo (secure email gateways) de terceros como capa adicional contra amenazas como phishing y malware. 

Sin embargo, un fallo de configuración conocido como ‘Ghost Sender’ ha encendido las alarmas, ya que permite que e-mails con remitentes falsificados lleguen igualmente a la bandeja de entrada, sin pasar por esa pasarela protectora.

El problema surge en entornos donde el correo entrante primero atraviesa una pasarela externa y después se reenvía a Exchange Online, un esquema muy habitual en las empresas en la actualidad. Con configuraciones estándar, ciertos e-mails pueden entregarse directamente al tenant de Microsoft 365 sin pasar por ese filtro, abriendo la puerta a mensajes fraudulentos con direcciones de remitente manipuladas que parecen legítimos y disparan el riesgo de phishing y fraude del CEO (business email compromise).

“El caso Ghost Sender demuestra que la seguridad del correo no depende sólo de tener los mecanismos correctos, sino de implementarlos técnicamente bien. No todos los entornos de Microsoft 365 están expuestos automáticamente: todo depende de cómo esté estructurado el flujo de entrada del correo”, explica David Ángel, Email Security Specialist en Retarus.

Recomendaciones para los equipos de TI

Retarus recomienda a los administradores de TI que realicen una revisión exhaustiva y específica de la configuración lo antes posible, y propone una hoja de ruta concreta para evitar incidentes: 

Comprobar si el entorno es vulnerable a la entrega directa fuera de la pasarela, usando herramientas de test dedicadas como ghost-sender. 

Definir con claridad la ruta de entrega prevista, configurando el registro de intercambio de correo (MX) para que los correos entrantes se enruten primero a través de la puerta de enlace y no directamente a través de Exchange Online, y un ‘Inbound Partner Connector’ (conector de entrada para partners) que fuerce el paso por la pasarela. 

Configurar el conector de entrada de forma restrictiva, permitiendo sólo IPs de origen autorizadas y reforzando la seguridad de la capa de transporte (TLS) o la validación de un dominio o certificado TLS adecuado. 

Bloquear la entrega SMTP directa a Exchange Online fuera de la ruta autorizada, verificando que el bloqueo funcione en la práctica. 

Revisar periódicamente la autenticación del remitente mediante SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) y una política DMARC (Domain-based Message Authentication, Reporting, and Conformance) cada vez más restrictiva. 

"No basta con que la configuración parezca correcta sobre el papel: hay que verificar en la práctica que los escenarios de suplantación de dominio quedan realmente bloqueados. Asegurar de forma consistente la ruta del correo entrante y evitar los bypasses directos es la manera más eficaz de reducir el riesgo de spoofing y mensajes fraudulentos en la empresa”, concluye Ángel.