Peritaje de correos electrónicos: autenticidad, origen y manipulación

Analizamos las cabeceras técnicas y los registros de servidor para determinar si un correo es auténtico, quién lo envió realmente y si ha sido alterado.

Un correo impreso no prueba casi nada

Un email reenviado, impreso o pegado en un documento de Word es tan manipulable como una captura de pantalla. El contenido visible —remitente, asunto, fecha— es simplemente texto que cualquiera puede editar antes de imprimir.

La información que realmente permite verificar un correo está en su cabecera técnica: la ruta completa que ha seguido el mensaje entre servidores, las direcciones IP por las que ha pasado, los identificadores únicos que asigna cada salto y los resultados de los mecanismos de autenticación del dominio. Esa parte no se ve en el cliente de correo, pero es la que se peritan.

Qué comprobamos

• Cabeceras completas: campos Received, Message-ID, Return-Path y marcas temporales de cada servidor por el que ha pasado el mensaje.
• Autenticación del dominio: resultados de SPF, DKIM y DMARC, que revelan si el correo salió realmente del dominio que dice ser.
• Coherencia interna: contradicciones entre la fecha declarada y las marcas de los servidores, o entre el remitente visible y el real.
• Adjuntos: integridad y metadatos de los documentos, y si han sido modificados respecto a la versión enviada.
• Origen técnico: direcciones IP de envío y su geolocalización aproximada, con las cautelas que exige interpretarla.
• Rastro en el servidor: registros del proveedor o del servidor de correo corporativo, cuando el cliente tiene acceso legítimo a ellos.

Tipos de caso

Fraude del CEO y estafas de transferencia

El esquema clásico: un correo aparentemente enviado por un directivo o por un proveedor habitual solicita un pago urgente a una cuenta nueva. El peritaje determina desde dónde se envió realmente el mensaje, si hubo acceso previo al buzón corporativo y en qué momento se produjo la desviación. Es una prueba clave tanto para la denuncia como para la reclamación al banco o al seguro.

Correos fabricados o alterados en un procedimiento

Cuando la otra parte aporta un email que nunca existió o cuyo contenido ha sido modificado, el análisis de las cabeceras y de los registros del servidor suele desmontarlo. Es un encargo habitual en conflictos mercantiles y laborales.

Suplantación de identidad y phishing

Análisis de campañas de correo fraudulento dirigidas a la empresa o a sus clientes: origen, infraestructura utilizada, alcance del incidente y medidas de contención.

Acreditar que un correo sí se envió y se recibió

El caso inverso: demostrar que una comunicación —una reclamación, un preaviso, una entrega de documentación— salió en una fecha determinada y llegó al destinatario.

Cómo entregar el correo para que se pueda peritar

Este es el punto donde más pruebas se pierden. Un correo reenviado pierde sus cabeceras originales y con ellas casi todo su valor pericial.

• Facilita el mensaje original en formato .eml o .msg, exportado desde el cliente de correo.
• Si no sabes exportarlo, conserva el correo en el buzón sin moverlo ni borrarlo y te indicamos cómo hacerlo.
• Evita reenviarlo: si es imprescindible, hazlo como archivo adjunto, no como reenvío normal.
• Mantén la cuenta activa: si se cierra el buzón se pierden los registros del servidor.
• Anota fechas, importes y personas implicadas; ayuda a acotar el análisis y a reducir el coste.

Preguntas frecuentes