Backscatter: rebotes de emails que no has enviado (qué hacer)

Qué significa

Recibes muchos mensajes "Undelivered Mail Returned to Sender", "Delivery Status Notification (Failure)" o "Undeliverable" de emails que nunca escribiste. Esto se llama backscatter.

Así es como ocurre: un spammer envía spam a miles de direcciones y pone tu dirección como remitente. Algunos servidores receptores aceptan primero el spam, luego descubren que el destinatario no existe y envían un rebote al remitente que figura en el mensaje, es decir, a ti. Recibes los rebotes, no el spam.

El backscatter es molesto, pero normalmente no significa que hayan hackeado tu cuenta. Aun así, tienes que comprobarlo primero.

Por qué ocurre

• La dirección del remitente en SMTP es fácil de falsificar. Sin SPF, DKIM y una política DMARC aplicada, cualquier servidor puede decir que envía en nombre de tu dominio. La suplantación en general se trata en emails falsos enviados con tu dominio.
• Servidores receptores mal configurados que aceptan todos los mensajes y rebotan después, en lugar de rechazar los destinatarios no válidos durante la conversación SMTP.
• Una dirección catch-all en tu dominio recibe los rebotes enviados a direcciones aleatorias (xk3h@yourdomain.com) inventadas por los spammers.

Cómo comprobarlo

¿Es backscatter o una cuenta hackeada?

Abre un rebote y mira el mensaje original adjunto o citado al final. Lee sus cabeceras Received:

• Si la primera línea Received muestra una IP y un servidor que no son tuyos (país desconocido, conexión doméstica) y no hay ninguna firma DKIM válida para tu dominio, es backscatter.
• Si el mensaje salió de verdad por tu proveedor de correo o tu servidor (nombres de host de tu proveedor, tu usuario en las cabeceras, copias en tu carpeta Enviados), puede que tu cuenta o tu web estén comprometidas. Sigue en su lugar cuenta de email hackeada que envía spam.

Revisa también los registros de envío o el seguimiento de mensajes de tu proveedor.

Comprueba tu autenticación

Consulta tu dominio en el escáner de dominios: ¿tienes un registro SPF que termine en -all o ~all, y un registro DMARC? Envía una prueba desde tu buzón real a la dirección única de la página de inicio de Delivmail para confirmar que tu correo real pasa SPF, DKIM y DMARC. Comprueba también la IP de tu propio servidor en las listas negras públicas: si tu propio servidor rebota spam, puede acabar listado como fuente de backscatter.

Cómo solucionarlo

No puedes impedir que los spammers escriban tu dirección, pero sí reducir el número de servidores que aceptan el correo falso y filtrar los rebotes.

1. Publica una autenticación estricta. Un registro SPF correcto, DKIM en todo tu correo real y una política DMARC que pases a quarantine y después a reject (consulta pasar DMARC a quarantine o reject sin riesgos). Los servidores que comprueban esto rechazan el correo falso durante la conexión, así que no te llega ningún rebote.
2. Quita el catch-all si no lo necesitas, para que se rechacen los rebotes dirigidos a direcciones inventadas.
3. Filtra los rebotes. Crea una regla que mueva a una carpeta los rebotes cuyo mensaje original no enviaste tú. En Microsoft 365, la opción avanzada del filtro de spam para el backscatter de NDR puede marcarlos como spam:

   Set-HostedContentFilterPolicy -Identity Default -MarkAsSpamNdrBackscatter On

4. En tu propio servidor, plantéate BATV (Bounce Address Tag Validation): tu servidor añade una etiqueta firmada al remitente del sobre de tu correo real y rechaza los rebotes que no llevan una etiqueta válida.
5. No generes backscatter tú mismo. Configura tu servidor para rechazar los destinatarios desconocidos durante la sesión SMTP en lugar de aceptarlos y rebotar. En Postfix, mantén completos local_recipient_maps o virtual_mailbox_maps, usa relay_recipient_maps para los dominios retransmitidos y haz que tu filtro de spam rechace en lugar de rebotar.

Las avalanchas suelen parar al cabo de unos días, cuando termina la campaña de spam.

Comprueba que está solucionado

Tras cualquier cambio de DNS, espera a la propagación y vuelve a comprobar tus registros en el escáner de dominios. Haz una nueva prueba en Delivmail para confirmar que tu propio correo sigue pasando DMARC. Después vigila el número de rebotes durante los días siguientes; debería bajar. Si los rebotes muestran mensajes enviados realmente desde tus sistemas, trátalo como un incidente de seguridad.