Cómo funciona el Analizador de Correos Electrónicos Fraudulentos

El Analizador de Correos Electrónicos Fraudulentos le permite subir un solo archivo .msg o .eml (hasta 5 MB) y recibe instantáneamente un veredicto en pantalla – Seguro, Sospechoso, Peligroso o Desconocido – junto con hallazgos concisos. Solo se puede enviar un archivo a la vez; un segundo archivo en la misma solicitud se rechaza con “Only a single file may be uploaded”. Los archivos de cualquier otro tipo se rechazan con “Only .msg and .eml files are supported”, y los archivos ilegibles devuelven “Could not parse this file — it may be corrupted or password‑protected”.

Límites de uso

Los usuarios gratuitos pueden analizar hasta cinco archivos al día, mientras que una suscripción paga eleva el límite a quince. Cuando se alcanza el límite, la herramienta muestra un cuadro de diálogo que compara los planes gratuito y premium. Después de que se muestra un resultado, puede iniciar un nuevo análisis haciendo clic en el botón “Analyze Another File”, que restablece la interfaz.

Determinación del veredicto

El veredicto comienza en Seguro y solo se eleva — nunca se disminuye — por el hallazgo más grave del correo. Los cuatro posibles resultados son:

• Seguro: ningún hallazgo técnico o impulsado por IA eleva el nivel.
• Sospechoso: al menos un hallazgo de severidad Sospechoso (p. ej., fallo SPF, nombre de adjunto sospechoso, discrepancia entre enlace visible y URL).
• Peligroso: cualquier hallazgo Peligroso (p. ej., fallo DKIM o DMARC, documento Office con macros, contradicción cuerpo‑vs‑adjunto, suplantación detectada por IA).
• Desconocido: la revisión de IA no pudo formarse y ninguna comprobación técnica produjo un resultado.

Cada veredicto va acompañado de etiquetas cortas que nombran las comprobaciones que lo dispararon. Cuando solo la IA impulsa la decisión, la etiqueta es ai-flagged; cuando la IA simplemente es inconclusa, la etiqueta es inconclusive. Un informe completo colapsable contiene una narrativa en lenguaje sencillo y una lista de cada hallazgo individual, etiquetado con su severidad (Informativo, Sospechoso, Peligroso) y origen (comprobación técnica o revisión IA).

Comprobaciones técnicas

Autenticación del remitente

El analizador lee los resultados SPF, DKIM y DMARC que ya fueron registrados por el servidor receptor. No se realizan búsquedas DNS en vivo. Un fallo DKIM o DMARC se trata como Peligroso, un fallo SPF como Sospechoso, y la ausencia de cualquier registro de autenticación se reporta como “no verificable” sin afectar el veredicto. Cuando existen varios registros de autenticación, se usa el más cercano al destinatario y su servidor de origen se muestra en el informe.

Comprobaciones de adjuntos

Los nombres de archivo de los adjuntos se escanean en busca de 22 extensiones ejecutables o de script conocidas (p. ej., .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Una coincidencia se marca como Sospechoso. Extensiones dobles como invoice.pdf.exe se informan explícitamente como “una técnica común para disfrazar ejecutables como documentos”. Los archivos Office con macros (.docm, .xlsm, .pptm) también se marcan como Sospechoso. La herramienta compara la firma real del archivo adjunto con su extensión declarada; una discrepancia se informa como Sospechoso con ambos tipos listados. Los archivos Office modernos (.docx, .xlsx) se reconocen correctamente y no se marcan como archivos disfrazados. El contenido de los adjuntos nunca abandona el servidor y no se envía al modelo de IA; la IA solo recibe el nombre del archivo y el tipo declarado.

Comprobaciones de enlaces

Cada hipervínculo en el cuerpo del correo se examina en busca de disparidad entre la dirección mostrada y la URL de destino real. Cuando el texto visible parece una dirección web o dominio y difieren, el enlace se marca como Sospechoso y se muestran ambos hosts. El texto genérico de llamada a la acción como “Click here” nunca activa esta comprobación, asegurando que los botones normales no se marquen. Los enlaces nunca se visitan y no se consulta ningún servicio externo de reputación.

Revisión IA

Además de las comprobaciones técnicas, una única revisión IA procesa el asunto, el cuerpo en texto plano, la dirección del remitente, el nombre mostrador del remitente, la lista de adjuntos y todos los hallazgos técnicos. La IA busca nombres mostrados que no coinciden, suplantación de marca, dominios parecidos y contradicciones entre los adjuntos declarados y los reales. Cualquier contradicción cuerpo‑vs‑adjunto se clasifica automáticamente como Peligroso. La IA genera una narrativa en lenguaje sencillo para la parte superior del informe completo, dirigida a usuarios no técnicos. Si la revisión IA no puede completarse pero ya existen hallazgos técnicos, se muestra el veredicto técnico junto con un aviso de que el análisis IA no estuvo disponible. Si la IA no puede ejecutarse y no existen hallazgos técnicos, la solicitud falla en lugar de devolver un falso resultado “Seguro”.

Limitaciones transparentes

• No se re‑verifican en vivo los registros SPF, DKIM o DMARC mediante DNS.
• Los documentos con macros se marcan, pero su código de macro no se extrae ni analiza.
• Los adjuntos nunca se ejecutan, se abren en sandbox o se escanean con un motor antivirus.
• Los enlaces se analizan solo como texto; no se siguen ni se usan bases de datos de reputación.