Cómo frenamos los correos que suplantan al CEO antes de que lleguen a la bandeja de entrada

Correos falsos del CEO intentaron llevar a nuestro equipo a grupos de LINE. Dos reglas de flujo de correo de Microsoft 365 ahora los ponen en cuarentena.

Alguien ha estado enviando correos al personal de LOGIQ haciéndose pasar por nuestro CEO. El 12 de noviembre de 2026 implementamos reglas de flujo de correo en Microsoft 365. Ahora, este tipo de mensajes se pone en cuarentena antes de llegar a la bandeja de entrada de nadie. Le contamos qué pasó, qué configuramos y qué pueden aplicar otras empresas.

Qué pasó

Los correos llegaban desde direcciones ajenas a LOGIQ. El nombre para mostrar del remitente era el de nuestro CEO, así que a simple vista el mensaje parecía suyo. La petición siempre era la misma: crear un grupo en LINE, una aplicación de mensajería, y devolver su código QR o su enlace de invitación.

El correo en sí no pedía dinero ni contraseñas. Ahí está el truco. Al correo solo le hace falta llevarle a un canal donde nuestra seguridad de correo no puede ver la conversación. La petición real (normalmente un pago, la compra de tarjetas regalo o archivos confidenciales) llega después.

Por qué funciona esta estafa

Se apoya en tres hábitos que casi todos tenemos.

• Leemos el nombre, no la dirección. La mayoría de las aplicaciones de correo muestran primero el nombre para mostrar y ocultan la dirección real. Cualquiera puede poner el nombre que quiera en una cuenta de correo gratuita.
• Le decimos que sí al jefe. Una nota breve y algo urgente del CEO no invita a hacer preguntas.
• La primera petición parece inofensiva. Crear un grupo de chat no parece nada. Pero en cuanto la conversación sale del correo corporativo, sus filtros, registros y compañeros dejan de verla.

Qué configuramos

Añadimos dos reglas de flujo de correo (también llamadas reglas de transporte) en Microsoft 365. Se ejecutan en el servidor, antes de que cualquier mensaje llegue a una bandeja de entrada, así que nadie tiene que detectar la estafa por sí mismo.

Regla	Qué detecta	Qué ocurre
Suplantación del nombre para mostrar	Correos de fuera de LOGIQ cuyo nombre para mostrar del remitente imita a nuestra dirección, tanto en grafía latina como japonesa	Cuarentena; cada caso se notifica a la dirección
Desvío a otros canales	Correos de fuera de LOGIQ que intentan llevar la conversación a una aplicación de chat, por ejemplo pidiendo el código QR o el enlace de invitación de un grupo de LINE	Cuarentena

La lógica de la primera regla es sencilla. Nuestra dirección solo envía instrucciones desde direcciones @logiqlinux.com. Por tanto, un correo externo que usa el nombre de nuestro CEO es fraudulento por definición, y no hay motivo para entregarlo.

Los mensajes en cuarentena se conservan durante 30 días. Si alguna vez se retiene por error un mensaje legítimo, un administrador puede liberarlo.

La capa humana

Los filtros detienen la mayoría de los intentos, pero no todos. Por eso las reglas van acompañadas de una política clara que todo el mundo en LOGIQ conoce:

• La dirección solo da instrucciones por los canales internos de la empresa, nunca desde una dirección de correo externa.
• LOGIQ nunca pide a nadie que traslade asuntos de trabajo a un grupo de chat personal.
• Si se cuela un mensaje sospechoso, no siga sus instrucciones. Avísenos y reforzaremos las reglas.

Una política así le pone fácil la decisión al personal. Nadie tiene que juzgar si un mensaje “parece” auténtico. Si incumple la regla, es falso.

Qué pueden hacer otras empresas

Puede configurarlo en una tarde. Esto es lo que recomendamos:

1. Ponga en cuarentena los correos externos que usan el nombre de sus directivos. En Microsoft 365, cree una regla de flujo de correo: el remitente está fuera de la organización y el nombre para mostrar del campo De contiene el nombre de un directivo. Incluya todas las grafías y sistemas de escritura que su personal reconocería.
2. Ponga en cuarentena los intentos de sacar la conversación del correo. Detecte frases que piden invitaciones a grupos de chat, códigos QR o cuentas personales de mensajería, y limite la regla a remitentes externos.
3. Ponga en cuarentena en lugar de eliminar. Así podrá liberar los mensajes retenidos por error y conservará las pruebas.
4. Envíe cada caso a alguien que actúe. Un aumento repentino de coincidencias es una alerta temprana de que su empresa está en el punto de mira.
5. Deje por escrito cómo se comunica realmente la dirección. Una sola frase (“las instrucciones solo llegan desde direcciones de la empresa, por canales internos”) le da al personal una prueba sencilla.
6. Active también las protecciones integradas. Marque a los remitentes externos con una etiqueta de advertencia y active la protección contra suplantación en su directiva contra phishing si su licencia la incluye.
7. Mantenga pocas excepciones, y en secreto. Cada remitente exento es una brecha. Revise la lista con regularidad y nunca la publique.

En resumen

Suplantar al CEO no requiere ningún hackeo, solo un nombre para mostrar convincente y una excusa para llevar la conversación a otra parte. Las reglas en el servidor le quitan esa decisión a quien lee el correo, y una política clara cubre lo que se les escape a las reglas.

¿Necesita ayuda para configurar reglas de flujo de correo o revisar la seguridad de su correo? Contacte con el equipo de LOGIQ.

Photo: Anete Lusina / Pexels