Soluciones de seguridad del correo electrónico: Acronis Email Security y Sophos

El correo electrónico es uno de los puntos de entrada más comunes de los ciberataques, y las protecciones integradas ya no bastan para gestionar amenazas dirigidas. Probamos tres plataformas de seguridad del correo electrónico en la nube (Acronis Email Security, Sophos Email Security y Barracuda Email Protection) con 100 pruebas en 11 categorías de amenazas.

Resultados del benchmark de soluciones de seguridad del correo electrónico en la nube

Lea la metodología del benchmark de soluciones de seguridad del correo electrónico para saber cómo probamos estas herramientas y medimos los resultados.

Comparación de soluciones de seguridad del correo electrónico según las categorías de veredicto

Acronis Email Security

• Acronis tiene la puntuación general de detección más alta (122/200) y es el que mejor rinde frente al phishing de GenAI, con un 100 %. Los diez pretextos empresariales elaborados fueron bloqueados, incluidos los documentos previos falsos del consejo, los flujos de re-consentimiento de Microsoft 365 y los acuerdos de confidencialidad legales ficticios.
  • Esta fue la categoría más difícil del benchmark, con una dificultad media de 8.2/10. Detectar las diez sugiere que Acronis gestionó bien las señales semánticas y contextuales del phishing en este benchmark, en lugar de depender únicamente de señales evidentes de gramática o formato.
• Las categorías F y D también respaldan este panorama: Acronis obtuvo un 89 % en suplantación de marca/dominio y un 90 % en phishing de URL, incluido un BLOCK en la prueba de inyección de cabecera authentication-results. Los resultados agregados sugieren una buena gestión de los casos de suplantación y análisis de URL.
• El historial limpio de falsos positivos es operativamente significativo. Ninguno de los ocho mensajes de control fue bloqueado, lo que significa que la tasa de detección del 61 % no conlleva un coste compensatorio por pérdida de correo legítimo.
• Los puntos negativos se concentran en los niveles de dificultad más bajos. El spam básico (categoría A, 44 %) es inferior al de otras herramientas, con fallos en spam farmacéutico, estafas de lotería y una estafa romántica básica en niveles de dificultad del 1 al 2. La brecha sugiere que Acronis prioriza los ataques sofisticados frente al tráfico masivo de bajo esfuerzo.

Sophos Email Security

• Sophos tiene la segunda puntuación general más alta (105.5/200). Alcanzó un 100 % en la categoría B (variantes de malware EICAR), detectando todas las variantes de archivos anidados, los ZIP protegidos con contraseña y la prueba de tolerancia de desplazamiento.
• Las debilidades más visibles de Sophos son el phishing de URL (categoría D, 58 %) y las técnicas de evasión (categoría J, 22 %). La brecha en phishing de URL es notable porque los enlaces se encuentran entre los mecanismos de entrega de phishing más comunes, y la categoría D prueba varias formas realistas en que los atacantes los ocultan o enrutan.
• La puntuación de Sophos del 58 %, en comparación con el 90 % de Acronis, sugiere que su capa de análisis de URL fue menos consistente en redireccionamientos, ofuscación y ubicaciones de URL fuera del cuerpo.

Barracuda Email Protection

• La puntuación de detección de Barracuda de 60/200 es inferior a la de los otros dos productos. La categoría I (phishing de GenAI) devolvió una detección del 0 %, y la categoría A (spam: 33 %) tiene la puntuación más baja entre los competidores. Esto sugiere que Barracuda fue menos eficaz en esta configuración frente a los escenarios de spam, phishing de GenAI e ingeniería social del benchmark.
• La categoría B (detección de malware conocido mediante cadenas de prueba EICAR, 89 %) y la categoría C (tipos de archivo portadores, como PDF con JavaScript incrustado, contrabando de HTML y accesos directos LNK, 70 %) son competitivas respecto a otros proveedores.
• Los resultados de Barracuda en la categoría J (técnicas de evasión, 44 %) son los mejores de los tres proveedores. Esto sugiere que el motor subyacente de inspección de contenido puede gestionar razonablemente bien características como caracteres de anchura cero, asuntos codificados y homoglifos.
• Las debilidades son más prominentes en las categorías que más importan para la protección moderna contra amenazas. El phishing con códigos QR (categoría E, 13 %), la suplantación de marca (categoría F, 11 %), el BEC (categoría G, 11 %) y la extorsión (categoría H, 22 %) están muy por debajo de la comparación.
• En las once pruebas de nivel difícil, Barracuda bloqueó una y falló las diez restantes.

Las 3 mejores soluciones de seguridad del correo electrónico en la nube

Análisis detallado de Acronis Email Security

Acronis Cyber Protect

Email Security console

Al seleccionar Acronis Email Security en el menú de la izquierda de la interfaz de Acronis Cyber Protect Cloud, vemos la siguiente pantalla. Luego hacemos clic para acceder a la consola de Email Security.

Como todavía no hemos completado ninguna configuración, nuestro panel muestra los siguientes elementos del menú:

• Incidentes: Incidentes de seguridad detectados y actividad de ataques.
  • Respuesta a incidentes: Herramientas para investigar y responder a incidentes.
  • Tráfico: Visibilidad de los patrones de tráfico de correo electrónico o web analizados.
  • Informes periódicos: Informes programados de seguridad y protección.
• Operaciones de seguridad: Controles de seguridad operativos y herramientas de monitorización.
• Configuración de detección: Configuración de reglas de detección, análisis y ajustes de protección.

Desde el menú Configuración de la izquierda, vamos a Activos de correo electrónico protegidos.

Como todavía no hay activos, el sistema nos redirige al flujo de configuración. Hacemos clic en Configurar protección del correo electrónico. El sistema nos pide una dirección de correo electrónico de escalado para informar de problemas y nos pregunta qué servicio de correo electrónico usamos.

Acronis Cyber Protect

Email service configuration

Para esta prueba, continuaremos con un proveedor personalizado mediante MX. Hacemos esto para comparar proveedores directamente, sin que nos afecten las protecciones integradas de Microsoft 365 ni de Google Workspace.

Seleccionamos el servicio de correo electrónico y elegimos el método de conexión Inline. Esto significa que Acronis analiza y bloquea los correos maliciosos antes de que se entreguen.

También añadimos un contacto de escalado que Acronis puede usar para problemas de apropiación de cuentas, seguridad o conexión. El siguiente paso es habilitar la aplicación de Google Workspace, que admite la incorporación, el recuento preciso de usuarios para la facturación y acciones de corrección, como eliminar los correos maliciosos entregados por error.

Añadimos el dominio conectado, aimultiple.com, y el sistema recupera automáticamente los registros MX.

También configuramos el método de cálculo de licencias en «Según los puestos notificados» e introducimos 100 puestos. Tras estos ajustes, pulsamos Siguiente para continuar con la configuración MX.

El sistema nos pide añadir un registro TXT para verificar la propiedad del dominio. Añadimos el registro y esperamos la verificación.

También podemos gestionar los servidores de destino SMTP configurados, confirmar que TLS está habilitado y usar la acción Verificar para comprobar que el registro TXT se ha publicado correctamente. Esta página también nos permite editar la configuración del servidor y de TLS o eliminar el dominio si es necesario.

Enviamos un total de 100 correos electrónicos que podrían considerarse maliciosos o spam. El panel ahora muestra estadísticas como cuántos correos se analizaron, cuántos se clasificaron como spam, cuántos se clasificaron como maliciosos y cuántos correos se recibieron por tipo de ataque. También hay una estadística que muestra qué direcciones de correo fueron atacadas con más frecuencia.

En el menú Análisis, podemos ver las estadísticas de análisis de todos los correos entrantes. El desglose por tipo de archivo también es un detalle útil. Además, en toda la aplicación podemos ajustar el rango de fechas haciendo clic en Último día en la parte superior de la página.

El filtrado en la sección Análisis es muy detallado. Estas son algunas de las opciones:

• Dirección/dominio/IP del remitente: Los indicadores principales para identificar remitentes maliciosos o suplantados.
• Nombre visible suplantado: Apunta directamente a una de las técnicas de phishing más comunes, donde el nombre visible parece legítimo, pero la dirección real no lo es.
• Dirección de respuesta: Otra señal importante de phishing. Cuando la dirección de respuesta difiere de la del remitente, suele indicar un intento de redirigir las respuestas a una bandeja controlada por el atacante.
• Acción (en cuarentena/entregado): Esencial para entender si una amenaza fue detectada o llegó al destinatario.
• Asunto: Para identificar campañas de phishing que utilizan líneas de asunto idénticas o casi idénticas en múltiples objetivos.
• Dirección del destinatario: Fundamental para determinar el alcance de un ataque. Muestra cuántos usuarios fueron objetivo y si entre ellos había personas de alto valor (directivos, finanzas).
• Carga útil (adjuntos/URL): Limita la búsqueda a los correos que contienen los mecanismos de entrega de malware más comunes.

Cuando vamos a Operaciones de seguridad desde el menú de la izquierda, llegamos a la sección Análisis. Desde esta pantalla podemos acceder a los detalles relacionados con los análisis. Todos los análisis se enumeran aquí y también podemos ver las categorizaciones resultantes, como limpio, spam y malicioso.

Cuando abrimos los detalles de un correo, podemos ver cómo lo evaluó el sistema y su estado actual. También podemos cambiar su estado a:

• Aprobar veredicto (Gestionar): Acepta el veredicto actual y procesa el correo en consecuencia.
• Marcar el correo como restringido: Clasifica el correo como restringido o infractor de la política.
• Marcar el correo como spam: Clasifica el correo como no deseado o no solicitado.
• Marcar el correo como sospechoso: Marca el correo como potencialmente arriesgado y que requiere precaución.
• Marcar el correo como limpio (FP): Marca el correo como seguro e indica que fue un falso positivo.

La vista siguiente es la vista compacta. Cuando hacemos clic en la pestaña Detallado de la esquina superior derecha, podemos ver muchos detalles adicionales.

En la vista compacta, podemos ver los detalles del análisis de un correo de phishing malicioso que fue puesto en cuarentena por Acronis. Incluye un resumen generado por IA que explica por qué el correo se considera malicioso y muestra indicadores como un dominio de remitente sospechoso, comportamiento de bombardeo de correo y una URL arriesgada. En la sección Detalles, podemos verificar el canal, la acción realizada, la hora del análisis, el tiempo de procesamiento, la organización y el estado de IR.

Acronis Cyber Protect

Scan details compact view

En el Inspector de correo, podemos revisar los metadatos del mensaje, incluidos el asunto, el remitente, el destinatario, la hora, la ruta de retorno y la IP de origen. El cuerpo del correo también se muestra, para que podamos evaluar directamente el intento de ingeniería social.

Los criterios de evaluación de incidentes son claros y transparentes. Para un incidente, también podemos hacer clic en el botón Solicitar investigación, seleccionar «Creo que este correo es limpio» y enviarlo al equipo de Acronis para su revisión. Podemos ver análisis anteriores relacionados con el mismo correo.

Con el botón Capturas de pantalla, podemos ver la versión renderizada del correo, lo cual es una función útil. En particular, el sistema no renderiza el correo como HTML en el navegador, por lo que ninguna vulnerabilidad no detectada en el correo puede provocar una brecha durante la revisión.

Las acciones de usuario observadas en esta prueba estaban disponibles en el registro de auditoría del menú de la izquierda. Algunos de estos registros son:

• Ver capturas de pantalla de análisis
• Gestionar análisis
• Acción de interfaz

Cada registro anota la marca de tiempo, la acción, la descripción, el administrador o equipo, la organización de destino y el correo u objeto de destino relacionado.

En Configuración de detección, en el menú de la izquierda, podemos gestionar listas de permitidos y listas de bloqueados de forma detallada, una función muy útil:

• Lista de permitidos de direcciones/dominios de remitente: Los correos de direcciones o dominios de esta lista siempre se consideran de confianza y omiten los filtros de spam/amenazas. Puede ser útil para incluir en la lista blanca a socios conocidos o sistemas internos que, de otro modo, podrían provocar falsos positivos.
• Lista de permitidos de direcciones de destinatario: Especifica direcciones de destinatarios internos que deben recibir todo el correo entrante sin filtrado. Así se garantiza que ciertos usuarios (por ejemplo, una bandeja de captura global) siempre reciban correos, incluso de remitentes desconocidos.
• Lista de bloqueados de direcciones/dominios de remitente: Los correos de direcciones o dominios de esta lista se rechazan o se ponen en cuarentena automáticamente. Puede usarse para bloquear de forma permanente fuentes de spam conocidas, dominios maliciosos o remitentes masivos no deseados.
• Lista de permitidos de IP de remitente: Los servidores de correo con IP en esta lista se consideran de confianza y sus correos omiten las comprobaciones de reputación basadas en IP. Puede usarse para servicios de correo de terceros de confianza o retransmisores de correo locales.
• Lista de bloqueados de IP de remitente: Las conexiones desde estas IP se bloquean, independientemente de la dirección del remitente. Puede ser eficaz contra servidores de correo maliciosos conocidos o infraestructura comprometida.

• Lista de permitidos de URL: Los enlaces que coinciden con estas URL o dominios dentro del cuerpo del correo se consideran seguros y no se marcarán.
• Lista de bloqueados de URL: Los correos que contienen estas URL se marcan, bloquean o ponen en cuarentena.
• Lista de permitidos de hash: Los archivos adjuntos que coinciden con estos hash criptográficos se tratan como seguros y pasan sin alertas de análisis.
• Lista de bloqueados de hash: Los adjuntos cuyo hash coincide con una entrada de esta lista se bloquean inmediatamente. Esto permite un bloqueo preciso y basado en firmas de archivos maliciosos conocidos, incluso si se renombran o disfrazan.

Algunas de las funciones que merece la pena mencionar, pero que no probamos específicamente, son:

En configuración de detección:

• Inteligencia de amenazas: Extrae indicadores de fuentes externas de inteligencia de amenazas. Esta función ayuda a detectar malware común generalizado, URL maliciosas y campañas de ataque activas.
• Banners: Añade banners personalizables a los correos entrantes según políticas y reglas.
• Usuarios VIP: Permite a los administradores mantener una lista de usuarios de alto valor (directivos, personal de finanzas, etc.).

En operaciones de seguridad:

Account Takeover (ATO): Detecta señales de buzones de Microsoft 365 comprometidos.

El motor marca reglas de buzón sospechosas (reenviar, redirigir, mover o eliminar correos), inicios de sesión de viaje imposible y accesos desde ubicaciones o dispositivos desconocidos. Cuando detecta una de estas señales, abre un caso en la consola y el equipo de respuesta a incidentes se pone en contacto con el administrador para investigar conjuntamente.

Análisis detallado de Sophos Email Security

Sophos Secure Email Gateway

Account activation

Para empezar con Sophos, creamos un enlace de prueba y se nos dirige a la siguiente pantalla. Al igual que Barracuda, Sophos nos pide que seleccionemos una región.

A continuación, el sistema pregunta qué producto queremos instalar. Seleccionamos Email Security. Otros productos que se pueden configurar incluyen Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix y Switches.

Enviaremos 100 correos y la imagen siguiente muestra el panel. Incluye estadísticas como el número total de correos entrantes analizados, amenazas potenciales y tipos de amenazas detectadas. También hay estadísticas de correos salientes, pero no estamos probando la seguridad del correo saliente en este benchmark.

También podemos ver otros elementos del panel, como tendencias de actividad de correo, resúmenes de amenazas e indicadores de estado de seguridad.

Hicimos clic en Configurar los ajustes de la puerta de enlace del correo. El sistema nos pide verificar nuestro dominio. Luego observamos un ajuste útil en el que podemos elegir solo entrante o entrante y saliente. También comprueba los correos salientes para prevenir problemas de seguridad.

El sistema muestra el registro DNS que debemos introducir. A continuación lo añadimos y continuamos.

Añadimos el registro TXT al DNS público del dominio. El valor TXT es un token de verificación de dominio de Sophos y el TTL está configurado en 600. Después de añadir el registro DNS, esperamos a que se propague y hacemos clic en Verificar para que Sophos confirme que somos propietarios del dominio.

Añadimos el registro y verificamos nuestro dominio. Para el destino entrante, seleccionamos MX e introdujimos el registro MX de Google Workspace: aspmx.l.google.com.

Al igual que Barracuda, Sophos requiere enrutamiento MX. A diferencia de Sophos y Barracuda, Acronis gestionó este proceso de forma limpia mediante una API, y no tuvimos que cambiar ningún ajuste.

Completamos la configuración MX y enviamos un correo de prueba, pero no llegó. Tras investigar un poco, vimos que el error era: «No se encontró esta dirección de correo electrónico», lo cual fue inesperado.

Tuvimos que entrar en el panel, abrir la sección Buzones desde el menú izquierdo y añadir manualmente los usuarios uno a uno. Es un problema de usabilidad que perjudica la experiencia general, ya que Acronis y Barracuda funcionaron de inmediato. Para la prueba, añadimos nuestra propia dirección de correo y continuamos las pruebas con esa cuenta.

La sección de informes está en el menú de la izquierda. Estos son algunos de los informes que podemos crear:

• Resumen de mensajes: Volumen general de correo y estado.
• Informe de análisis de SophosLabs: Veredictos de mensajes notificados por usuarios/administradores.
• Resumen de amenazas de Intelix: Análisis de amenazas de los correos entrantes.
• Resumen de hora de clic: Informe de actividad de clics en enlaces.
• Usuarios en riesgo: Empleados más vulnerables.
• Resumen de control de datos: Coincidencias de políticas de pérdida de datos.
• Resumen posterior a la entrega: Correos eliminados después de la entrega.
• Resumen de uso de licencias: Uso de licencias de seguridad del correo electrónico.

Cuando vamos a Email Security > Historial de mensajes, podemos ver todos los correos entrantes y cómo se clasificó cada uno. Este informe de historial de mensajes enumera los correos individuales procesados por Sophos Email Security. Algunos campos clave son:

• Remitente: De quién parecía proceder el correo.
• Destinatarios: Quiénes recibieron el mensaje.
• Tipo: Cómo entró el correo en el sistema, normalmente Gateway.
• Asunto: La línea de asunto del correo.
• Último estado: Qué hizo Sophos con él, como Entregado, Eliminado o En cuarentena.
• Fecha: Cuándo se procesó el correo.
• Categoría: La clasificación de Sophos, como Legítimo, Spam, Malware, Amenaza de Intelix o Autenticación.

Algunos ejemplos de las categorías son:

• Legítimo: Correos normales que se permitieron.
• Spam: Correos sospechosos o no deseados; muchos se ponen en cuarentena.
• Malware: Correos peligrosos con contenido malicioso; estos se eliminan.
• Amenaza de Intelix: Correos analizados por Sophos Intelix que se consideraron sospechosos o amenazantes.
• En cuarentena: El correo se bloqueó y se puso en cuarentena para su revisión.
• Eliminado: El correo se eliminó en lugar de entregarse.

Los filtros siguientes permiten a los usuarios acotar el registro de correo por categoría de mensaje:

• Legítimo: Correos normales permitidos.
• Mensaje seguro: Correos cifrados o protegidos.
• Control de datos: Correos que coinciden con reglas de pérdida de datos/seguridad.
• Fallo de autenticación: Comprobaciones SPF, DKIM o DMARC fallidas.
• Suplantación: Posible suplantación del remitente o fraude de identidad.
• Masivo: Correos de marketing masivo o automatizados.
• Spam: Correos no deseados o sospechosos.
• URL/Código QR: Correos con enlaces o códigos QR arriesgados.
• Amenaza de Intelix: Correos marcados por el análisis de amenazas de Sophos.
• No analizable: Correos que Sophos no pudo inspeccionar por completo.
• Malware: Correos con archivos o contenido malicioso.
• Bloqueado por la empresa: Correos bloqueados por la política de la empresa.

El menú Buzones muestra los buzones que se están monitorizando. Al abrir un buzón, podemos seleccionar qué políticas aplicar. En Política base – Email Security, están disponibles los siguientes ajustes:

Sophos Secure Email Gateway

Base Policy & Email Security,

Autenticación incluye comprobaciones de autenticación del correo para los mensajes entrantes. Podemos configurar cómo gestiona Sophos los fallos de DMARC, SPF y DKIM, incluidas acciones como ajustarse a la política del remitente o etiquetar la línea de asunto con una advertencia.

• También incluye comprobaciones del remitente para anomalías de cabeceras y de dominios, que ayudan a detectar correos que parecen proceder de tu propio dominio o de dominios sospechosos sin registros DNS adecuados. También podemos habilitar banners para el usuario final para mostrar a los destinatarios el nivel de confianza de los mensajes entrantes y ayudarnos a decidir si permitir o bloquear remitentes.

Antimalware gestiona el análisis antimalware entrante de los mensajes de correo. Podemos elegir la acción predeterminada para las detecciones de malware, como Eliminar, y habilitar un análisis de malware mejorado para un análisis más profundo del contenido y los archivos.

• También permite controlar los correos no analizados y el análisis de amenazas de Intelix, donde Sophos puede usar análisis estático y dinámico para clasificar mensajes sospechosos. Según el veredicto, podemos definir acciones como eliminar, entregar o gestionar los correos maliciosos y sospechosos de forma diferente.

Antispam gestiona cómo maneja Sophos el spam y el correo masivo. Podemos configurar acciones para categorías como Spam confirmado y Masivo, incluida la puesta en cuarentena de mensajes y decidir si aparecen en la cuarentena del usuario final. También incluye un control deslizante personalizable de tasa de detección de spam, donde los niveles más altos aumentan la agresividad de la detección de spam.

Dominio/remitente nuevo incluye protecciones para dominios recién registrados y remitentes nuevos. Podemos habilitar comprobaciones de correos enviados desde dominios creados recientemente, que suelen usarse en campañas de phishing. También permite mostrar un banner de Remitente nuevo cuando un destinatario no ha recibido antes correos de ese remitente.

El país de origen permite controlar los correos según el país del remitente. Se pueden seleccionar países concretos de una lista y los correos coincidentes pueden ponerse en cuarentena o gestionarse de otro modo conforme a la política.

• También hay una opción para comprobar cada salto del mensaje, que ayuda a inspeccionar la ruta que siguió un correo antes de llegar al destinatario.

Idioma gestiona el filtrado por idioma del mensaje. Podemos seleccionar idiomas concretos que queramos no permitir y elegir la acción que Sophos debe tomar, como poner en cuarentena los mensajes coincidentes.

La protección contra suplantación permite comprobaciones de intentos de suplantación de VIP, de marca y generales.

Para la protección de URL y códigos QR, podemos revisar los correos en busca de URL y códigos QR maliciosos. Sophos puede analizar enlaces y extraer URL de códigos QR para detectar amenazas antes de que los usuarios interactúen con ellas. También gestiona la protección de URL en el momento del clic, donde los enlaces se reescriben y se comprueban cuando el usuario hace clic en ellos.

En el menú de la izquierda, la sección Mensajes en cuarentena muestra todos los correos en los que se ha detectado una amenaza. Podemos filtrar por:

• Antimalware: Correos marcados durante el análisis de malware. Incluye mensajes con adjuntos peligrosos, contenido malicioso o elementos que Sophos no pudo inspeccionar por completo:
  • Malware: Correos que se ha confirmado que contienen archivos, enlaces o contenido malicioso. Suelen eliminarse o ponerse en cuarentena.
  • No analizable: Correos que Sophos no pudo inspeccionar correctamente, por ejemplo, por cifrado, corrupción, adjuntos protegidos con contraseña o tipos de archivo no compatibles.
• Antispam: Correos clasificados mediante reglas de detección de spam:
  • Masivo: Correos enviados masivamente, como boletines, campañas de marketing o notificaciones automatizadas.
  • Spam confirmado: Correos identificados con seguridad como spam. Normalmente se ponen en cuarentena o se bloquean.
  • Spam sospechoso: Correos que parecen sospechosos pero no son spam confirmado. Pueden ponerse en cuarentena, etiquetarse o entregarse según la política.
  • Suplantación: Correos que pueden fingir proceder de una persona, marca, dominio o remitente interno de confianza.
  • País no permitido: Correos bloqueados o en cuarentena porque proceden de un país restringido por la política.
  • Idioma no permitido: Correos bloqueados o en cuarentena porque su idioma detectado no está permitido por la política.
  • BATV: Correos relacionados con la validación de etiquetas de dirección de rebote, utilizada para ayudar a detectar mensajes de rebote falsificados o spam de retrodispersión.
  • Dominio nuevo/NRD: Correos de dominios recién registrados, que suelen usarse en campañas de phishing o ataques de corta duración.
• Autenticación: Correos filtrados según comprobaciones de autenticación del remitente, como fallos de SPF, DKIM o DMARC.

Cuando hacemos clic en un correo, podemos ver los mensajes que explican por qué se puso en cuarentena. Podemos eliminarlo y bloquear al remitente, liberar el mensaje de la cuarentena o liberarlo y permitir mensajes similares en el futuro.

Sophos

Raw Header

En la sección Cabecera sin procesar, podemos ver toda la información de cabecera del correo. También podemos ver sus adjuntos y las URL contenidas en el mensaje. En nuestra evaluación, esto no resultó suficientemente detallado. Acronis y Barracuda ofrecieron una experiencia más completa e informativa a este respecto.

En la pestaña Mensaje, podemos ver el contenido del correo tal cual, lo que puede ser inseguro. Sería mejor poder ver el contenido del correo como una captura de pantalla, como observamos en Acronis.

Aquí hay 23 correos porque estos se marcaron como spam, mientras que otros se rechazaron directamente. En resumen, el sistema pone en cuarentena los correos marcados como spam.

Cuando queremos exportar todos los correos entrantes, no podemos hacerlo directamente desde las pantallas de informes. Necesitamos crear un informe personalizado desde Registros de correo, abrirlo, seleccionar Generar informe, elegir CSV y, por último, exportar todo como CSV. Este flujo de trabajo resulta innecesariamente indirecto y poco fácil de usar.

Análisis detallado de Barracuda Email Protection

Después de obtener una prueba de Barracuda, navegamos al panel, hicimos clic en Abrir para Email Protection y continuamos.

En Disponible en tu prueba, podemos ver los principales productos incluidos:

• Protección del correo electrónico: Previene amenazas de correo, protege el correo antes y después de la entrega y automatiza la respuesta a incidentes de correo.
• Copia de seguridad de nube a nube: Realiza copias de seguridad de los datos de Microsoft 365.
• Inspector de datos: Encuentra datos confidenciales y malware no detectado en OneDrive y SharePoint.
• Formación en concienciación de seguridad: Forma a los empleados sobre las amenazas a la seguridad del correo.
• Servicio de archivado en la nube: Aplica la retención del correo con fines de cumplimiento y descubrimiento electrónico.

Barracuda Cloud Archiving Service

Trail dashboard

Como aún no habíamos configurado ningún dominio ni ajustes relacionados, el sistema nos llevó directamente al asistente de configuración, una función útil para configurar los ajustes del correo.

Cuando hicimos clic en Siguiente, el sistema nos obligó a conectar una cuenta de Microsoft 365. Sin embargo, usamos Google Workspace y estamos evaluando el servicio para ese entorno.

Más tarde descubrimos que Barracuda admite Google Workspace. Continuamos con la configuración estándar.

Barracuda Cloud Archiving Service

Data region selection

El sistema nos pidió seleccionar una región de datos. Es una función importante para el cumplimiento del RGPD, así que seleccionamos Alemania y continuamos.

Más tarde, Barracuda nos pidió introducir una dirección de correo perteneciente a nuestro dominio y verificar nuestros registros MX. Hicimos clic en el botón de verificación y no realizamos ninguna acción adicional. El sistema verificó los registros correctamente.

Durante las fases posteriores de nuestra configuración, descubrimos que Barracuda carecía de una integración nativa con Google Workspace. En su lugar, nos dio nuevos registros MX para reemplazar los existentes. Al actualizar estos registros MX, los correos entrantes parecen llegar primero a Barracuda.

A continuación, Barracuda filtra los correos inapropiados y reenvía los aceptables. Exigir cambios en los registros MX para la integración con Google Workspace es un enfoque deficiente.

Después de eso, actualizamos los registros MX y los verificamos. Completamos la configuración y empezamos a enviar correos.

Mientras enviábamos los correos, observamos que Barracuda rechazaba algunas solicitudes SMTP y rechazaba algunos adjuntos. Cuando realizamos la misma prueba con Acronis, todos los correos se entregaron y fueron visibles en el sistema. Aquí, Barracuda rechaza algunos correos antes de que aparezcan en el panel.

Aunque los rechaza porque son realmente maliciosos, perdemos visibilidad como resultado de este proceso automatizado. En otras palabras, puede que ni siquiera sepamos si un ataque llegó y fue rechazado. Esto supone un reto para usar Barracuda en seguridad del correo, ya que la visibilidad lo es todo en contextos de seguridad. Si un producto rechaza incidentes de forma arbitraria y los hace invisibles, perjudica al equipo de seguridad.

A pesar de estos retos, todos los correos de prueba se enviaron. En el panel de Barracuda, se nos dirige a la pantalla Registro de mensajes, donde se enumeran todos los correos analizados.

La sección Registro de mensajes incluye un área de filtrado en la parte superior. Estas son las opciones de filtrado:

• Búsqueda: Búsqueda de texto en mensajes, destinatarios, remitentes y otros campos.
• Dominios: Filtra los resultados por el dominio seleccionado.
• Dirección: Filtra por dirección del correo; Entrante o Saliente.
• Rango de fecha/hora: Limita los resultados a una ventana temporal concreta.
• Acción realizada: Filtra por la acción realizada, p. ej., Permitido, Bloqueado, Diferido.
• Estado de entrega: Filtra por si el correo se entregó, falló, se puso en cuarentena, etc.
• Motivo: Filtra por el motivo de detección que desencadenó una acción (p. ej., Puntuación, DMARC, Antivirus, Contenido protegido).
• Resultados: Controla cuántos registros se muestran por página.

Barracuda Cloud Archiving Service

Incorrectly classified email

Podemos notificarlo como clasificado incorrectamente. Por ejemplo, un correo es seguro pero se clasificó incorrectamente como dañino. Notificamos el correo como seguro.

Otro correo está bloqueado, pero el panel no ofrece detalles adicionales. Por tanto, Barracuda se queda corto en este aspecto. Sería más útil poder ver más información sobre por qué se bloquea el mensaje, además de la puntuación de bloqueo.

En la sección Dominios de la izquierda, podemos ver, añadir y eliminar los dominios que queremos incluir en la protección del correo, que son funciones estándar.

Dentro del menú Entrante de la izquierda, Barracuda proporciona los filtros utilizados para estos controles. Podemos configurar estos filtros.

Por ejemplo, en Ajustes antispam/antivirus, podemos configurar:

• Usar lista de bloqueo de reputación de Barracuda: Comprueba el correo entrante con la base de datos de Barracuda de remitentes maliciosos conocidos. Se puede configurar en Block, Cuarentena o Desactivado.
• Analizar el correo en busca de virus: Activa o desactiva el análisis de virus en todos los correos entrantes.
• Usar el sistema en tiempo real de Barracuda: Contrasta los correos con la fuente de inteligencia de amenazas en vivo de Barracuda. Puede bloquearse, ponerse en cuarentena o desactivarse. Opcionalmente, envía contenido sospechoso a Barracuda Central para un análisis más detallado.
• Habilitar cloudscan: Descarga la puntuación de spam en el motor en la nube de Barracuda. Las puntuaciones van de 1 a 10; los correos que superan el umbral activan la acción configurada.
• Categorización del correo: Clasifica los correos entrantes por tipo y aplica una acción por categoría. Las categorías incluyen correo corporativo, correo transaccional, materiales de marketing y boletines, listas de correo y redes sociales, cada una configurada independientemente en Permitir, Cuarentena, Block o Desactivado.
• Detección de correo masivo: Detecta y actúa sobre correos masivos/enviados en masa. Cuando está desactivada, los correos masivos no se filtran por separado.
• Exenciones de correo masivo: Permite que direcciones o dominios concretos omitan la detección de correo masivo, definidos por remitente o destinatario.

Barracuda Cloud Archiving Service

Rate Limit

Las páginas de límite de velocidad definen cuántos correos puede enviar una IP de remitente en cada periodo de 30 minutos, un ajuste útil. Puede prevenir el abuso del correo y los ataques repentinos de gran volumen desde una sola IP de remitente.

Al limitar cuántos correos puede enviar una IP en un periodo de 30 minutos, el sistema puede reducir el impacto de:

• Campañas de spam
• Ráfagas de phishing
• Distribución de malware
• Cuentas o servidores de remitente comprometidos
• Inundación de correo de tipo denegación de servicio

En la página Lista blanca/negra de IP, podemos omitir el análisis de los correos procedentes de IP concretas o bloquearlos directamente.

En Políticas regionales, podemos aplicar bloqueo o inclusión en listas blancas geográficos. También podemos bloquear o permitir correos según el idioma del contenido.

En Políticas de destinatarios, podemos configurar reglas de análisis u omisión según la dirección de correo del destinatario.

Barracuda también ofrece políticas similares para remitentes. Podemos aplicar excepciones según el remitente.

También hay un panel donde podemos definir excepciones basadas en controles estándar de seguridad del correo, como DMARC, DKIM y SPF.

En Políticas de contenido, podemos configurar si analizar u omitir correos según el nombre o tipo de archivo. También podemos definir reglas de análisis u omisión basadas en el contenido del cuerpo del mensaje mediante expresiones regulares.

Barracuda ofrece Advanced Threat Protection como suscripción además del analizador de virus habitual. Advanced Threat Protection (ATP) es un servicio de análisis basado en la nube que examina los adjuntos de correo en un entorno de nube seguro para detectar amenazas que los analizadores de virus estándar podrían pasar por alto. Se aplica a mensajes entrantes y admite la mayoría de tipos de archivo MIME.

Hay tres modos en ATP:

1. Entregar primero, luego analizar intenta analizar el adjunto en tiempo real a medida que llega el correo. Si el análisis termina a tiempo y se detecta una amenaza, el correo se bloquea. Si el análisis no termina a tiempo, el correo se entrega inmediatamente sin esperar el resultado. El análisis sigue ejecutándose en segundo plano y, si se detecta una amenaza después, se notifica al destinatario, pero el correo ya ha llegado a su bandeja. Esto significa que el destinatario podría abrir un adjunto infectado antes de que se identifique la amenaza.
2. Analizar primero, luego entregar analiza el adjunto antes de la entrega. Si se detecta una amenaza, el correo se bloquea. Si está limpio, se entrega. Los correos con análisis pendiente aparecen en el Registro de mensajes con «Análisis pendiente» como motivo. Si un mensaje permanece diferido más de cuatro horas, se pone en cuarentena. Este modo es más seguro, pero puede retrasar la entrega.
3. Desactivado: ATP está totalmente desactivado.

La compensación clave aquí es entre velocidad y seguridad. «Entregar primero» prioriza la velocidad de entrega, pero introduce una ventana de riesgo. «Analizar primero» elimina ese riesgo, pero puede retrasar o diferir los mensajes con adjuntos.

En la sección Informes, Barracuda crea informes detallados sobre la seguridad del correo:

• Resumen de tráfico entrante/saliente: Visión general de toda la actividad de correo entrante y saliente, desglosada por diferido, bloqueado, en cuarentena y permitido.
• Desglose de correos entrantes bloqueados: Desglose detallado de por qué se bloquearon los correos entrantes.
• Principales remitentes/destinatarios de correo entrante: Muestra los remitentes/destinatarios más frecuentes del correo entrante.
• Desglose de principales remitentes bloqueados entrantes: Enumera los remitentes cuyos correos se bloquean con más frecuencia, con el motivo.
• Desglose de principales destinatarios bloqueados entrantes: Muestra los destinatarios internos a los que más a menudo se dirigen los correos bloqueados.
• Principales remitentes de correo saliente: Visión general de los usuarios internos que envían el mayor volumen de correo saliente.
• Principales remitentes bloqueados salientes: Muestra los usuarios internos cuyos correos salientes se bloquean con más frecuencia.

Además, podemos programar informes automatizados, una función útil. En lugar de iniciar sesión repetidamente para consultar paneles, podemos recibir resúmenes periódicos de amenazas, mensajes en cuarentena, tendencias de spam, detecciones de malware, intentos de suplantación, acciones de políticas y riesgo de usuarios. Los informes programados también pueden ayudar a los usuarios a identificar patrones de forma temprana, como un aumento del phishing, ataques repetidos contra usuarios concretos o un incremento de adjuntos maliciosos bloqueados.

El menú Syslog de la izquierda nos permite reenviar todos estos registros a un servidor de registros de nuestra elección. Es una función útil para integraciones SIEM.

En general, el producto ofrece una amplia gama de funciones, pero en esta prueba rinde por debajo de lo esperado en detección de amenazas. Una parte importante de la configuración queda en manos del usuario, lo que plantea la cuestión de si el valor añadido justifica la carga, especialmente para organizaciones que usan Google Workspace o el centro de cumplimiento de Microsoft 365.

Características clave de las soluciones de seguridad del correo electrónico en la nube

Capacidades diferenciadoras de las plataformas de seguridad del correo electrónico en la nube

Seguridad centrada en el usuario (capa humana)

Muchos incidentes empiezan con una acción del usuario. Por eso las plataformas modernas de seguridad del correo incluyen herramientas que guían el comportamiento en lugar de depender únicamente del filtrado.

• Los banners de advertencia contextuales pueden alertar a los usuarios cuando un mensaje parece sospechoso.
• La formación también es cada vez más adaptativa. En lugar de simulaciones genéricas, los usuarios reciben orientación adaptada a sus patrones de interacción.

Seguridad unificada e integración de plataformas

La integración con sistemas de endpoint e identidad permite respuestas coordinadas. Por ejemplo, si un correo provoca el robo de credenciales, el sistema puede activar acciones más allá de la bandeja de entrada.

Los paneles centralizados ofrecen a los equipos una visión más clara de su postura general de seguridad, lo que reduce los malentendidos entre herramientas.

Protección de datos, cifrado y cumplimiento

El correo suele contener contratos, datos financieros y otra información confidencial. Proteger esta información requiere algo más que detección de amenazas.

• El cifrado garantiza que los mensajes permanezcan privados en tránsito y en reposo. Las políticas de prevención de pérdida de datos ayudan a evitar el intercambio no autorizado, ya sea accidental o intencionado.
• Las funciones de cumplimiento respaldan los requisitos normativos, incluidas las pistas de auditoría y las políticas de retención. Esto es especialmente relevante para organizaciones que operan a través de fronteras y manejan datos sujetos a normas legales o sectoriales estrictas.

No te pierdas nuestros análisis comparativos e insights basados en datos. El botón abre Google; seleccionar AIMultiple confirma que deseas ver AIMultiple con más frecuencia en los resultados de búsqueda de Google.

Añadir como fuente preferida

Metodología del benchmark de seguridad del correo electrónico en la nube

Evaluamos con benchmark tres productos de seguridad del correo electrónico: Acronis Email Security (con la tecnología de Perception Point), Sophos Email Security y Barracuda Email Protection.

El benchmark incluyó 100 pruebas de extremo a extremo y siguió cuatro principios.

1. Orientado a la cobertura: Cada prueba se corresponde con una capacidad que el proveedor afirma públicamente ofrecer.
2. Ponderado por dificultad: Fallar una prueba simple de 1/10 indica una carencia grave del producto. Fallar una prueba de 9/10 es más comprensible, porque esos casos reflejan problemas de detección de nivel experto. El método de puntuación separa estos casos en lugar de tratar todos los fallos por igual.
3. Reproducible: El benchmark se ejecuta con un arnés de pruebas PHP autocontenido y se comprueba con una suite de verificación independiente. Antes de enviar cualquier correo de prueba, el verificador realiza más de 1.800 comprobaciones para confirmar que las cargas útiles de prueba están completas, son válidas y están configuradas correctamente.
4. Ético: Las pruebas de malware usan la cadena de prueba antivirus EICAR. Las URL de phishing apuntan a infraestructura canaria inerte o inexistente. Todos los buzones de prueba son propiedad del equipo de pruebas.

Seleccionamos las pruebas de modo que las afirmaciones públicas de cada proveedor se pusieran a prueba al menos una vez. Priorizamos las amenazas que los tres proveedores afirman detectar para que la comparación directa fuera justa. También incluimos un número menor de casos específicos de cada proveedor cuando eran relevantes. Por ejemplo, el secuestro de conversaciones es una afirmación central de Barracuda, y los señuelos de GenAI de tipo deepfake suelen ser promovidos por proveedores que priorizan la IA.

El benchmark se organiza en once categorías. Cada categoría prueba un mecanismo de detección diferente. El número de pruebas se muestra entre paréntesis, con 100 pruebas en total.

Categoría A: Spam (9 pruebas)

Esta categoría abarca anuncios farmacéuticos masivos, correos de pump-and-dump de criptomonedas, estafas de lotería, préstamos de día de pago, mensajes iniciales de plataformas de citas y prospección en frío de B2B SEO.

La mayoría de las pruebas de esta categoría son intencionadamente fáciles. Dos pruebas, el marketing de correo gris y la prospección en frío B2B, están más cerca del límite de falsos positivos porque un filtrado agresivo puede bloquear correo empresarial legítimo.

Categoría B: Malware conocido mediante la cadena de prueba EICAR (9 pruebas)

Esta categoría prueba la entrega de EICAR en formatos de adjunto comunes y anidados:

• Adjunto .txt simple,
• ZIP normal,
• ZIP protegido con contraseña e incluida la contraseña en el cuerpo del correo,
• ZIP anidado dentro de otro ZIP,
• EICAR con extensión .exe para probar la gestión de discrepancias entre extensión y contenido,
• .tar.gz, archivo recursivo de tres niveles,
• .gz de un solo archivo sin envoltorio tar,
• EICAR con cuatro kilobytes de basura antepuesta para probar la tolerancia de desplazamiento.

Estas pruebas ejercitan el desempaquetado de archivos, la compatibilidad de formatos y la extracción de contraseñas del cuerpo del correo. Son capacidades básicas de las puertas de enlace de correo modernas.

Categoría C: Tipos de archivo portadores (10 pruebas)

Esta categoría prueba formatos de archivo que suelen usarse para transportar o desencadenar comportamiento malicioso. El conjunto incluye:

• PDF con JavaScript incrustado y un desencadenador OpenAction,
• Contrabando de HTML mediante URL.createObjectURL en un blob codificado en Base64,
• SVG con un script onload y XHR remoto,
• Acceso directo .lnk de Windows con una carga de PowerShell en el bloque de argumentos,
• Archivo poliglota PDF/ZIP,
• Aplicación HTML .hta con VBScript,
• Dropper de JavaScript de Windows Script Host que usa XMLHTTP y ADODB.Stream,
• Imagen ISO 9660 que contiene EICAR,
• Archivo de acceso directo a Internet .url,
• Archivo de consulta de Internet de Excel .iqy.

Esta es una de las categorías más discriminantes porque los resultados de los productos varían mucho según estos tipos de archivo portadores.

Categoría D: Phishing de URL (10 pruebas)

Esta categoría mide el análisis de URL en enlaces directos, redireccionamientos, ofuscación y ubicaciones fuera del cuerpo. Incluye:

• URL de phishing directa en un TLD sospechoso,
• Destino acortado con Bitly,
• Cadena de redireccionamiento multisalto a través del redireccionador abierto de Google y t.co,
• Homoglifo IDN en Punycode con la “а” cirílica en раypal.com,
• URL oculta en HTML con caracteres de anchura cero y texto blanco de un píxel,
• URL presente dentro de una anotación PDF,
• URI que contiene HTML codificado en Base64 con un enlace de phishing,
• URL extremadamente larga con el host real enterrado en la cadena de consulta,
• Parámetro de redireccionamiento abierto en un host de apariencia legítima,
• URL de caché AMP de Google que oculta el destino de phishing detrás de google.com/amp/s/.

Categoría E: Phishing con códigos QR (8 pruebas)

Esta categoría prueba si los productos pueden extraer e inspeccionar URL de phishing ocultas dentro de códigos QR. El conjunto incluye:

• Códigos QR PNG en línea para la re-inscripción de MFA,
• Firma de DocuSign,
• Acceso a nóminas,
• Aviso de reintento de entrega de envío
• Acceso al buzón de voz
• Restablecimiento de 2FA bancaria.

También incluye variantes de evasión: un código QR incrustado dentro de un PDF sin contenido QR en el cuerpo del correo, un código QR entregado como imagen envuelta en SVG y un código QR configurado como URI de datos de imagen de fondo CSS en lugar de una etiqueta <img>.

Estos casos prueban si el analizador examina imágenes fuera de los contenedores HTML más evidentes.

Categoría F: Suplantación de marca y dominio (9 pruebas)

Esta categoría prueba la suplantación de remitente, dominio, marca y cabeceras e incluye:

• Suplantación del nombre visible desde una cuenta genérica de Gmail,
• Dominio de typosquat con m1crosoft-account.com,
• Homoglifo IDN en punycode para Apple
• Abuso de subdominio mediante microsoft.support-team-portal.tk
• Imitación del kit de marca de Microsoft con el logotipo real y estilo Segoe UI
• Discordancia entre remitente y cabecera From
• Suplantación de un banco local
• Typosquatting de una empresa de comercio electrónico
• Inyección de la cabecera Authentication-Results donde el atacante añade valores falsificados spf=pass, dkim=pass y dmarc=pass al mensaje.

El último caso prueba si los analizadores posteriores confían en cabeceras de autenticación suministradas por el atacante en lugar de validar los resultados reales previos.

Categoría G: BEC y spear phishing sin cargas útiles (9 pruebas)

Esta categoría se centra en la ingeniería social sin adjuntos ni enlaces maliciosos e incluye:

• Solicitud de transferencia bancaria del CEO enviada desde una cuenta de Gmail,
• Pretexto de cambio bancario de compromiso de correo de proveedor,
• Redirección de nómina de autoservicio del empleado,
• Estafa de tarjetas regalo en línea de un suplantador del director financiero
• Secuestro de conversación con un asunto Re:Re: y cabeceras In-Reply-To falsificadas,
• Solicitud de pruebas confidenciales de un bufete falso,
• Contacto externo de un cazatalentos con un currículum adjunto,
• Pretexto de apropiación de la autenticación de dos factores de WhatsApp,
• Pretexto con información privilegiada de fusiones y adquisiciones (M&A) que combina lenguaje de confidencialidad con urgencia.

Categoría H: Extorsión y estafas (9 pruebas)

Esta categoría abarca patrones comunes de estafa y extorsión. Las pruebas incluyen:

• Correo que usa una contraseña filtrada antigua,
• Factura falsa con un enlace de pago malicioso en un PDF,
• Carta de anticipo,
• Amenaza de confiscación de la autoridad fiscal,
• Extorsión DDoS contra un sitio web,
• Aviso falso de bloqueo de iCloud de Apple con un enlace de desbloqueo,
• Estafa de tasas de aduana de mensajería
• Extorsión por doxing,
• Estafa del familiar atascado en aduanas.

Categoría I: Phishing de calidad GenAI (10 pruebas)

Esta categoría prueba correos de phishing muy elaborados que eliminan las pistas evidentes de las que suelen depender los sistemas antiguos. El conjunto incluye:

• Correo de re-verificación del servicio de asistencia de TI con pasos estructurados y un botón de marca,
• Documento previo falso del consejo con lenguaje de confidencialidad y un enlace de espacio de trabajo,
• Actualización de la política de inquilino de Microsoft 365 que exige un nuevo consentimiento en un plazo de siete días,
• Solicitud de firma electrónica del código de conducta de RR. HH.,
• Seguimiento de éxito del cliente tras una reunión ficticia,
• Suplantación de resumen de reunión,
• Acuerdo de confidencialidad legal de una contraparte ficticia,
• Aviso crítico de CVE al estilo del CISO,
• Avance de resultados de relaciones con inversores con lenguaje de embargo,
• Resolución de conflictos de calendario que exige un inicio de sesión único (SSO).

Cada correo de esta categoría se redactó para leerse como un mensaje de negocios competente de un hablante nativo de inglés. Las pruebas evitan deliberadamente los viejos indicios de phishing, como gramática deficiente, frases forzadas y discordancias evidentes de marca.

Categoría J: Técnicas de evasión (9 pruebas)

Esta categoría prueba la ofuscación que puede burlar la inspección superficial de contenido e incluye:

• Caracteres Unicode de anchura cero dentro de palabras desencadenantes,
• Elusión de OCR donde todo el mensaje de phishing se representa como un PNG sin texto de cuerpo analizable,
• Carácter de anulación de derecha a izquierda en el nombre de un adjunto,
• Nombre de archivo de doble extensión,
• Señuelo oculto con CSS donde el texto representado parece benigno mientras el DOM contiene el contenido de phishing,
• Asunto con palabra codificada según RFC 2047,
• URL con caracteres codificados en hexadecimal en el host,
• Homoglifo en el asunto con la “е” cirílica en lugar de la “e” latina,
• URL oculta en un atributo HTML data-* y recuperada en el momento del clic mediante JavaScript en línea.

Categoría K: Conjunto de control y prueba de falsos positivos (8 pruebas)

El conjunto de control contiene correos empresariales legítimos que deberían pasar sin advertencia e incluye:

• Notificaciones internas del equipo,
• Informes de gastos mensuales,
• Seguimientos de reuniones,
• Resúmenes semanales,
• Archivos ZIP protegidos con contraseña para uso interno legítimo,
• Recordatorios de formación,
• Avisos de mantenimiento de TI,
• Correos de programación de reuniones individuales.

Cualquier producto que marque uno de estos mensajes recibe una penalización por falso positivo.

Limitaciones del benchmark de seguridad del correo electrónico

Excluimos varias categorías porque requieren infraestructura o condiciones que van más allá de un benchmark de una sola ejecución:

• Cambio de URL en el momento del clic: Este ataque entrega una URL que parece benigna en el momento de la entrega y luego redirige a un destino de phishing. Probarlo requeriría un servidor HTTP con estado que mute su contenido, además de una acción de clic del usuario.
• Apropiación de cuentas y phishing lateral: Esto requeriría controlar un buzón interno, lo cual quedaba fuera de la configuración del benchmark.
• Malware dinámico consciente del sandbox: Las muestras polimórficas reales que detectan la virtualización y evitan la detonación se excluyeron por razones éticas.
• Páginas de destino de kits de phishing activos: Todas las URL resuelven a hosts inertes. El benchmark no prueba la experiencia posterior al clic.

El remitente del Grupo S requiere un relay SMTP que permita cabeceras From no alineadas. Los servicios SMTP en la nube suelen rechazar estas pruebas a nivel de red. Cuando no se dispone de un relay permisivo, el benchmark se degrada al Grupo L, lo que deja 38 pruebas basadas en contenido.

Arquitectura de dos remitentes

Muchas pruebas de seguridad del correo pasan por alto una distinción importante entre los ataques basados en el contenido y los basados en la identidad del remitente. Algunas amenazas son peligrosas por el cuerpo o los adjuntos del mensaje, independientemente de quién las envíe. Otras son peligrosas porque el correo afirma proceder de alguien a quien no representa. Estas dos clases requieren configuraciones de envío diferentes.

Dividimos el benchmark en dos grupos de remitentes.

• Grupo L, Legítimo, 38 pruebas: Estos correos se envían desde un servicio SMTP autenticado. SPF, DKIM y DMARC se alinean correctamente para el dominio de envío. El nombre visible cambia según la prueba, como Finanzas, Soporte de TI o el nombre real del evaluador, pero la dirección From sigue siendo la dirección del remitente autenticado.
  • El Grupo L se usa para categorías basadas en contenido: K, B, C, J y las dos pruebas de phishing de URL, donde la URL es la amenaza independientemente del remitente.
• Grupo S, Suplantado, 62 pruebas: Estos correos se envían a través de un relay SMTP permisivo que no impone la alineación del dominio From. La dirección From es la que especifique cada caso de prueba, por lo que la alineación SPF y DMARC falla por diseño.
  • El Grupo S se usa para categorías basadas en la identidad del remitente: A, la mayor parte de D, E, F, G, H e I.

Esta división refleja el comportamiento real de los atacantes. Los operadores de phishing suelen usar servidores virtuales baratos y dominios desechables porque los servicios SMTP en la nube convencionales, como Gmail, Office 365 y AWS SES, con dominios verificados, impiden enviar correo con una cabecera From no alineada.

Figura 1: Figura que muestra cómo funciona un servidor de retransmisión SMTP. Un servidor de retransmisión SMTP es un servidor de correo de terceros que recibe correos de un remitente y los reenvía a servidores de destinatarios fuera del dominio del proveedor de correo del propio remitente.

Ponderación por dificultad

Cada prueba tiene una calificación de dificultad de 1 a 10. La calificación indica cuán difícil debería resultar la prueba para un producto de seguridad del correo competente.

• 1 a 2, trivial: Son firmas de libro de texto sin ofuscación significativa. Fallarlas indica una carencia de detección fundamental. Ejemplos: spam farmacéutico, EICAR simple en un ZIP y una carta nigeriana 419.
• 3 a 4, bien conocidas: Son patrones familiares que los productos modernos deberían detectar. Ejemplos: JavaScript en PDF, sextorsión con contraseñas filtradas y suplantación del nombre visible del CEO.
• 5 a 6, intermedias: Estos casos requieren un análisis más potente, como IA moderna, sandboxing o visión artificial, incluidos el contrabando de HTML, las URL con homoglifos IDN y el phishing con códigos QR en línea.
• 7 a 8, avanzadas: Son casos límite que los productos más sólidos gestionan de forma consistente, como poliglotas PDF/ZIP, cadenas de redireccionamiento multisalto, suplantación visual del kit de marca y señuelos de elusión de OCR solo con imagen.
• 9 a 10, experto: Son casos realmente difíciles donde detectar es un resultado sólido y fallar es común en todo el sector. Ejemplos: secuestro de conversaciones con hilos falsificados, un seguimiento de éxito del cliente de calidad GenAI y un acuerdo de confidencialidad legal falso de una contraparte previamente desconocida.
• Pruebas de control: Los mensajes de la categoría K deberían pasar. Cualquier detección en esta categoría cuenta como falso positivo.

Las medias por categoría siguen la curva de dificultad prevista: el spam A promedia 2.2/10, el EICAR B promedia 2.8/10, la extorsión H promedia 3.8/10, los archivos portadores C promedian 5.0/10, la suplantación de marca F y la evasión J promedian 5.6/10, el phishing de URL D promedia 5.8/10, el phishing con códigos QR E promedia 6.8/10, el BEC G promedia 6.8/10 y el phishing GenAI I promedia 8.2/10.

Puntuación del benchmark

Cada producto recibe uno de cinco veredictos por prueba:

• BLOCK: El mensaje se pone en cuarentena o se rechaza (2 puntos).
• WARN: El producto inyecta un banner, envía el correo a correo no deseado o elimina el adjunto (0.5 puntos).
• LATE: El mensaje se entrega primero y luego se elimina después de la entrega (1 punto).
• MISS: El mensaje llega a la bandeja sin advertencia (0 puntos).
• FP: Un mensaje del conjunto de control se marca incorrectamente (penalización de -2 puntos).

La tasa de detección se calcula como el total de puntos dividido por la puntuación máxima posible de las pruebas de ataque y se expresa como porcentaje. La puntuación máxima posible es igual al número de pruebas de ataque multiplicado por dos.

La tasa de falsos positivos se notifica por separado. Un producto que alcanza un 90 % de detección bloqueando correo legítimo plantea más riesgo operativo que uno que alcanza un 80 % de detección sin falsos positivos.

Reproducibilidad y herramientas

El benchmark se ejecuta desde un único script PHP autocontenido. El script construye 100 mensajes MIME en memoria con un generador multipartes personalizado. Genera las cargas útiles localmente, incluidos ZIP, ZIP cifrados con AES-256, archivos tar.gz, archivos .gz de un solo archivo, PDF con acciones JavaScript, muestras de contrabando de HTML, archivos SVG con JavaScript onload, archivos .lnk de Windows con el CLSID de Shell Link correcto y el bloque de argumentos UTF-16LE, y una imagen de disco ISO 9660 mínima.

El script envía cada prueba a través de la ruta SMTP correcta según su grupo de remitentes.

Cada mensaje incluye cabeceras de trazabilidad: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case y X-Bench-Group. Estas cabeceras hacen que cada prueba sea rastreable en bandejas de entrada, consolas de cuarentena y registros de producto.

Un arnés de verificación independiente ejecuta más de 1.800 comprobaciones de integridad antes de la transmisión. Valida que cada prueba tiene los campos requeridos, que cada calificación de dificultad está dentro de [1, 10] o es cero para los controles, y que EICAR está presente y es recuperable en todos los adjuntos de la categoría B, incluidos los archivos protegidos con contraseña y los anidados triples.

El verificador también comprueba que los PDF contienen cabeceras %PDF- y marcadores %%EOF válidos, que los PNG contienen firmas válidas y bloques IEND, que los SVG se analizan como XML bien formado, que el archivo LNK tiene el CLSID de Shell Link correcto y la cadena de argumentos de PowerShell esperada, que el descriptor de volumen primario ISO 9660 aparece en el sector 16 con la firma \x01CD001 correcta y que la inferencia de grupo coincide con la división documentada entre Grupo L y Grupo S.

Un tercer script procesa los CSV por producto después de la introducción manual de veredictos. Genera un informe comparativo con una tabla de veredictos lado a lado por prueba, tasas de detección por categoría, puntuaciones totales, porcentajes de tasa de detección, recuentos de falsos positivos y tres subtablas forenses:

1. casos triviales pero fallados, definidos como dificultad ≤ 2 con al menos un MISS
2. casos de alta dificultad pero detectados, definidos como dificultad ≥ 8 con al menos un BLOCK
3. todos los incidentes de falsos positivos

Ética y restricciones operativas

No se creó ni transmitió malware real. Los adjuntos maliciosos usan la cadena de prueba antivirus EICAR, un documento de prueba de 68 caracteres definido por el Instituto Europeo de Investigación Antivirus Informático, o demostradores benignos. Algunos ejemplos son un PDF cuyo JavaScript llama a app.alert, una página HTML que usa URL.createObjectURL en la cadena EICAR y un SVG cuyo onload llama a un endpoint inexistente.

No se utilizó infraestructura de phishing activa. Las URL de prueba resuelven a uno de tres destinos seguros: el TLD reservado .invalid definido en la RFC 2606, dominios .tk de marcador bajo nuestro control que devuelven un 404, o hosts paródicos como m1crosoft-account.com y xn--pple-43d.com registrados para el benchmark y que no sirven contenido.

No se desplegó ninguna página de recolección de credenciales. Todos los buzones de prueba son propiedad del equipo de pruebas y están monitorizados. Las credenciales SMTP están limitadas al benchmark y se rotan después de cada intervención.

Cita este benchmark

Elige el formato que se ajuste al lugar donde vas a publicar. Pegar la versión con enlace en tu CMS conserva el enlace de retroceso.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Soluciones de seguridad del correo electrónico: Acronis Email Security y Sophos}},
  year   = {2026},
  month  = sep,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Recuperado el 30 de septiembre de 2026}
}

Sedat Dogan

CTO

Síguenos

Sedat es un líder en tecnología y seguridad de la información con 20 años de experiencia en desarrollo de software, infraestructura de redes y ciberseguridad. Sedat:
- Tiene 20 años de experiencia como hacker de sombrero blanco y gurú del desarrollo, con amplia experiencia en lenguajes de programación y arquitecturas de servidores.
- Es asesor de la junta directiva en un capital de riesgo que invierte en empresas tecnológicas en etapas tempranas y en Ödeal, una plataforma regional de pagos digitales que atiende a 125.000 comercios.
- Ha dirigido la infraestructura tecnológica y la ciberseguridad de siete elecciones nacionales y ha sido reconocido en el Salón de la Fama de la ciberseguridad por líderes tecnológicos globales, incluido Twitter.

Ver perfil completo

Sé el primero en comentar

Tu dirección de correo electrónico no será publicada. Todos los campos son obligatorios. Los comentarios se dejan en su idioma original.

Nombre

Dirección de correo electrónico

Comentario

0/450

Publicar comentario