La seguridad en el correo electrónico es una preocupación constante para las instituciones financieras en todo el mundo. En América Latina, el uso del Sender Policy Framework (SPF) se ha convertido en una medida esencial para asegurar la autenticidad del remitente y evitar el phishing en los correos electrónicos. Sin embargo, nuestra investigación ha revelado preocupantes deficiencias en la implementación del SPF en la banca de la región. En este artículo, analizaremos los resultados de este estudio y exploraremos las implicaciones de esta falta de seguridad en el correo electrónico para la industria financiera de América Latina.
El Sender Policy Framework (SPF) es un protocolo que permite especificar la lista de direcciones IP autorizadas para enviar correos electrónicos en nombre de un dominio en particular, por lo cual es usado por casi todas las organizaciones con el fin de hacer sus comunicaciones más seguras y confiables, ya que la activación del registro SPF dificulta la suplantación de identidad.
A pesar de ser un elemento de seguridad crucial en toda institución financiera, en DANAconnect notamos que al comenzar a trabajar con nuevos clientes en la Banca, muchos de estos no tenían implementados el SPF adecuadamente, por lo cual decidimos hacer un estudio en los Bancos de la región LATAM.
El estudio fue realizado sobre 360 Bancos durante el mes de Octubre de 2018, con la siguiente distribución por país:
Por cada Banco se realizó un análisis de la implementación del SPF, aplicando la siguiente clasificación:
Del estudio realizado se obtuvieron los siguientes resultados generales:
La distribución de resultados por país fue la siguiente:
Colombia se destacó como el país con mejor implementación del SPF, mientras que la Banca en Argentina es la más vulnerable.
Conclusiones:
Solo el 38.9% de la Banca en LATAM tiene el SPF configurado correctamente, por lo cual es bastante vulnerable a ataques de Phishing.
Si desea revisar la configuración del SPF de su Banco, puede hacerlo con nuestra herramienta online de forma gratuita.
La mayor concentración de registros SPF se encuentran en modo relajado (41.9%).
La causa principal de esta variable es la falta de gobernabilidad sobre las comunicaciones que envían los bancos a sus clientes. Esto ocurre porque muchos Bancos no poseen un inventario completo de todos los sistemas y proveedores que envían correos en nombre de su dominio y para evitar que sean filtrados mensajes legítimos tales como: Alertas de seguridad, campañas de marketing, cobranzas, estados de cuenta, encuestas de NPS, etc. entonces deciden resolver la urgencia de “los mensajes que no llegan” configurando el SPF en modo relajado, dejando así al Banco vulnerable a ataques de Phishing.
Una solución efectiva para levantar el inventario de direcciones IP desde las cuales se envían comunicaciones legítimas del Banco es configurando los reportes DMARC, los cuales permiten recolectar diariamente la información de las direcciones IP están intentando enviar correos en nombre de su dominio.
