Un correo autenticado es un correo que sali\u00f3 de donde dice. No es un correo veraz. Casi todo el sector confunde las dos cosas, y el fraude de reclutamiento vive de esa confusi\u00f3n.<\/p>\n
El 2 de septiembre recib\u00ed una oferta para un puesto de Group CTO en un grupo de aviaci\u00f3n. El mensaje era breve, correcto y espec\u00edfico: citaba tres proyectos concretos de mi trayectoria. Google lo entreg\u00f3 en la bandeja principal con SPF, DKIM y DMARC en verde.<\/p>\n
Cinco comprobaciones despu\u00e9s estaba claro que detr\u00e1s no hab\u00eda ninguna empresa. Lo que sigue es el procedimiento, no la an\u00e9cdota.<\/p>\n
RDAP sustituy\u00f3 al WHOIS y responde en JSON. Es la primera consulta, siempre, porque el fraude necesita dominios desechables y los dominios desechables son nuevos.<\/p>\n
El dominio del remitente se hab\u00eda registrado el 29 de agosto de 2026 a las 14:43:26 UTC, en Hostinger, por un a\u00f1o y con el titular oculto. El correo lleg\u00f3 cuatro d\u00edas despu\u00e9s. Una consultora de selecci\u00f3n ejecutiva con cartera de clientes en aviaci\u00f3n no tiene cuatro d\u00edas.<\/p>\n
Todo certificado TLS p\u00fablico queda registrado en los Certificate Transparency logs, y el campo Hecha esa correcci\u00f3n, el certificado se emiti\u00f3 unos tres minutos despu\u00e9s del registro del dominio. Dominio, DNS, buz\u00f3n y certificado en la misma pasada autom\u00e1tica. Nadie dise\u00f1\u00f3 nada: solo hac\u00eda falta que el remitente existiera.<\/p>\n La web era la p\u00e1gina de aparcamiento por defecto del hosting. Sin nombre de empresa, sin direcci\u00f3n, sin tel\u00e9fono, sin equipo, sin una sola vacante publicada. El correo, en cambio, hablaba de un mandato ejecutivo confidencial.<\/p>\n Un headhunter sin web es un headhunter sin clientes. Nadie encarga una b\u00fasqueda de CTO a una empresa que no puede ense\u00f1ar qui\u00e9n es.<\/p>\n urlscan.io archiva cada an\u00e1lisis que le pide cualquiera desde 2016. La Wayback Machine lleva capturando desde 1996. Un dominio corporativo real acumula rastro en ambos casi sin querer: un cliente que lo comprueba, un filtro de correo que lo escanea, un rastreador que pasa.<\/p>\n Este ten\u00eda cero escaneos y cero capturas. No es una empresa con poca presencia digital: es un dominio que nadie ha visitado nunca.<\/p>\n Cuatro incoherencias, todas visibles en el propio correo:<\/p>\n Cuatro consultas, ning\u00fan registro, ninguna herramienta de pago. Sustituye SPF, DKIM y DMARC responden a una sola pregunta: \u00bfest\u00e1 autorizado este servidor a enviar en nombre de este dominio? Si t\u00fa eres el due\u00f1o del dominio, la respuesta es que s\u00ed. Autenticarse es trivial: quince minutos y el precio de un dominio.<\/p>\n La pregunta que importa \u2014\u00bfexiste la empresa que dice este correo?\u2014 no la contesta ninguna cabecera. La contestan el registro del dominio, los logs de transparencia y el rastro p\u00fablico. Y esa la puede hacer cualquiera.<\/p>\n El nombre y el cargo de la firma pertenecen a una profesional real que casi con certeza no sabe nada de esto. Es la primera perjudicada, no la responsable. Publico el dominio \u2014 La parte t\u00e9cnica es la f\u00e1cil. Cinco minutos, cuatro comandos, ning\u00fan juicio de valor.<\/p>\n<\/blockquote>\n Lo dif\u00edcil es lo otro. Esto funciona porque llega a alguien con veinte a\u00f1os de oficio a quien nadie llama desde hace meses. Porque el correo dice, con tus propias palabras, que lo que has construido importa. Porque cuando llevas mucho tiempo esperando una se\u00f1al, la primera que llega no la auditas: la agradeces.<\/p>\n Ese es el material con el que trabajan. No con dominios baratos ni con certificados autom\u00e1ticos, sino con la esperanza de gente competente que solo quer\u00eda volver a trabajar. La comprobaci\u00f3n no cuesta nada. Hazla antes de ilusionarte, no despu\u00e9s.<\/p>\n","protected":false},"excerpt":{"rendered":" Un correo autenticado es un correo que salio de donde dice. No es un correo veraz. Las cinco comprobaciones publicas que destaparon una falsa busqueda ejecutiva en cinco minutos.<\/p>\n","protected":false},"author":0,"featured_media":5822,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"categories":[28],"tags":[],"class_list":["post-5821","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad"],"yoast_head":"\nnotBefore<\/code> dice cu\u00e1ndo se emiti\u00f3. Let’s Encrypt lo pre-fecha una hora, as\u00ed que hay que sumarla.<\/p>\n3. Mira la web, no el logotipo<\/h2>\n
4. Cualquier web viva deja huella<\/h2>\n
5. Comprueba si el mensaje se sostiene por dentro<\/h2>\n
\n
+0100<\/code>. La empresa citada tiene su sede en la costa este de Estados Unidos, \u22120400<\/code>.<\/li>\nLos comandos<\/h2>\n
DOMAIN<\/code>:<\/p>\ncurl -s https:\/\/rdap.org\/domain\/DOMAIN | jq '.events'<\/code>
\necho | openssl s_client -connect DOMAIN:443 | openssl x509 -noout -issuer -dates<\/code>
\ndig +short MX DOMAIN && dig +short TXT _dmarc.DOMAIN<\/code>
\ncurl -s \"https:\/\/urlscan.io\/api\/v1\/search\/?q=page.domain:DOMAIN\"<\/code><\/p>\nQu\u00e9 demuestra realmente la autenticaci\u00f3n<\/h2>\n
Sobre la persona suplantada<\/h2>\n
bonillarecruiting.com<\/code>\u2014 y no el nombre, porque el dominio es el hecho verificable y el nombre es solo el disfraz.<\/p>\nPor qu\u00e9 funciona<\/h2>\n
\n