Rafael Pfister

Consulting

Prueba de penetración de correo: el flujo de correo como superficie de ataque

Las pruebas de penetración generales examinan redes y aplicaciones web; el flujo de correo suele quedar fuera, aunque el correo electrónico es uno de los puntos de entrada más frecuentes en los ataques a empresas. Pruebo tu infraestructura de correo con los métodos de un atacante: si se pueden falsificar remitentes, si se puede eludir la pasarela y qué servicios son accesibles desde fuera.

La consultoría se presta en alemán o en inglés.

  • Prueba de penetración
  • Suplantación
  • SPF/DKIM/DMARC
  • Elusión de la pasarela
  • Exchange
  • Microsoft 365

Áreas de prueba

  • Suplantación y autenticación¿Se puede falsificar tu dominio desde fuera? SPF, DKIM y DMARC se prueban contra destinatarios reales, incluidos subdominios y dominios de aspecto similar.
  • Elusión de la pasarelaEntrega directa a Exchange Online o al servidor de correo sin pasar por la pasarela previa, Direct Send, conectores y relés insuficientemente protegidos.
  • Servicios accesiblesSMTP, OWA, EWS, ActiveSync, Autodiscover e interfaces de administración de las pasarelas: versiones, vulnerabilidades conocidas, configuración TLS y métodos de autenticación.
  • Filtrado y entregaCómo trata la pasarela adjuntos, enlaces y cabeceras manipulados, comprobado con patrones de prueba inofensivos en lugar de malware real.
  • Seguridad de los buzones en Microsoft 365Autenticación heredada, reenvíos externos, consentimientos de aplicaciones y configuración de auditoría, como revisión de la configuración.

Marco y encargo

Cada prueba empieza con un encargo por escrito: alcance, ventana temporal, personas de contacto y sistemas excluidos se fijan de antemano. Solo se prueban sistemas de los que el cliente puede disponer; para las pruebas contra Microsoft 365 se aplican además las Rules of Engagement de Microsoft para pruebas de penetración en la nube. Las simulaciones de phishing dirigidas a empleados no forman parte del alcance estándar y solo se realizan tras acordarlas con los responsables de personal y de protección de datos.

Cómo se desarrolla un encargo

  1. Encargo y alcanceFijar por escrito objetivos, sistemas, ventana temporal y contacto de emergencia.
  2. ReconocimientoEvaluar la información visible públicamente: DNS, MX, certificados, servicios expuestos.
  3. PruebasEn la ventana temporal acordada, cada paso registrado y trazable.
  4. Informe y prueba de verificaciónHallazgos priorizados según el riesgo, con medidas concretas; tras su implementación, una prueba de verificación de los puntos críticos.

Ejemplos de la práctica