Resumen ejecutivo: Más de la mitad de los principales bancos de EE. UU. permanecen expuestos a ataques de phishing debido a una aplicación débil o inexistente de DMARC, a pesar del aumento de las pérdidas por ciberdelitos y de las amenazas de correo electrónico cada vez más sofisticadas. Los desafíos operativos, las lagunas regulatorias y la subestimación del riesgo dificultan protecciones más sólidas, poniendo en peligro la confianza de los clientes y la estabilidad financiera.
Conclusiones clave
- Menos de la mitad de los principales bancos de EE. UU. aplican políticas de DMARC estrictas (p=reject), dejando sus dominios expuestos a la suplantación y a ataques de phishing, mientras que casi un tercio se limita a monitorizar de forma pasiva sin bloquear los correos malintencionados.
- Las instituciones financieras son los principales objetivos del phishing, representando más del 50% de todos los ataques de phishing a nivel mundial, con ataques que crecen en volumen y sofisticación debido a la IA generativa y al aumento de los riesgos de terceros.
- Los obstáculos operativos, la ambigüedad regulatoria y la aversión al riesgo son las principales razones por las que los bancos retrasan la aplicación de DMARC, a pesar de su eficacia comprobada para prevenir el fraude basado en correo electrónico y proteger la confianza de los clientes.
El correo electrónico sigue siendo la principal herramienta del sector financiero, y los ciberdelincuentes lo saben. En 2024, el Centro de Denuncias de Delitos en Internet (IC3) del FBI registró 16.600 millones de dólares en pérdidas relacionadas con ciberdelitos, un aumento del 33% respecto al año anterior. El compromiso del correo electrónico empresarial (BEC), en el que los atacantes suplantan a instituciones de confianza a través del correo electrónico, generó 21.489 denuncias y 2.900 millones de dólares en daños, convirtiéndolo en el segundo ciberdelito más costoso registrado por la agencia.
Las cifras de principios de 2025 sugieren que la tendencia está empeorando: según el Informe de Investigaciones sobre Violaciones de Datos de Verizon 2025, de más de 22.000 incidentes y 12.195 violaciones confirmadas analizadas, el abuso de credenciales y los pretextos de ingeniería social fueron los principales vectores de acceso. La participación de terceros se duplicó hasta el 30% de las violaciones, subrayando el riesgo de la cadena de suministro para los bancos.
El phishing sigue en aumento. El Anti-Phishing Working Group registró 989.123 ataques en el cuarto trimestre de 2024, el volumen trimestral más alto jamás registrado. La IA generativa solo ha agudizado la amenaza: mensajes pulidos y sin errores tipográficos generados por grandes modelos de lenguaje eliminan las señales delatoras que se enseñó a los consumidores a detectar.
Por qué esto importa a los bancos
Más allá del fraude directo, las consecuencias de una violación son severas. El estudio de IBM sobre el coste de una violación de datos de 2024 cifra el incidente promedio en el sector de servicios financieros en 6 millones de dólares, muy por encima de la media intersectorial. A esto se suman las multas regulatorias, los días de negociación perdidos y el daño reputacional, y queda claro: cada correo electrónico suplantado representa un riesgo material para los beneficios y la confianza de los clientes.
La ansiedad del sector, en cifras
Para evaluar el nivel de preparación del sector, los analistas de Red Sift examinaron los datos de DMARC (Domain-based Message Authentication, Reporting & Conformance) de los 510 mayores bancos comerciales de EE. UU. Los resultados son preocupantes:
- 210 bancos (41,2%) aplican p=reject, lo que significa que los mensajes fraudulentos se bloquean directamente.
- 96 (18,8%) se encuentran en p=quarantine, enviando el correo dudoso a spam.
- 144 (28,2%) recopilan informes en p=none pero aun así entregan posibles suplantaciones.
- 60 (11,8%) no publican ningún registro DMARC.
Conclusión: menos de la mitad de los mayores bancos de EE. UU. protegen activamente sus dominios, y casi un tercio todavía monitoriza de forma pasiva, permitiendo que los mensajes suplantados lleguen a las bandejas de entrada.
¿Qué frena la aplicación? No es la tecnología.
La realidad no es una falta de conocimiento sobre DMARC; se trata de complejidad operativa y aversión al riesgo. Los bancos gestionan cientos de remitentes de terceros legítimos —desde plataformas de marketing hasta sistemas hipotecarios— y temen que una política mal configurada pueda bloquear servicios críticos como nóminas, documentos de préstamos o extractos de clientes.
A esto se suma la falta de visibilidad. Muchos equipos de seguridad operan sin una visión consolidada de la actividad de envío de correo electrónico. Con recursos limitados, optan por defecto por p=none, esperando que los atacantes no se den cuenta de que su dominio es fácil de suplantar.
También se enfrentan a la ambigüedad regulatoria: aunque organismos como el NIST y el FFIEC recomiendan DMARC y otros estándares de autenticación, ninguna regulación bancaria formal de EE. UU. exige su aplicación completa. En contraste, las agencias federales de EE. UU. han estado obligadas a implementar p=reject desde 2017 en virtud de la Directiva Operativa Vinculante 18-01 del DHS. Sin mandatos sectoriales similares, muchos bancos han relegado la aplicación de DMARC a un segundo plano.
Por último, muchos subestiman la amenaza. A pesar del aumento del phishing sofisticado impulsado por IA, algunos responsables de seguridad creen que SPF y DKIM son suficientes o asumen que los clientes reconocerán las falsificaciones, ignorando el aumento de los ataques de suplantación contra marcas como Bank of America, que experimentó una explosión de mensajes de texto y llamadas suplantadas en 2024 y 2025.
Cómo pueden los bancos acelerar su camino hacia p=reject
Los bancos comerciales de EE. UU. son objetivos principales de ataques de phishing y BEC, lo que hace que la protección del dominio no sea opcional, sino esencial. Implementar DMARC con aplicación en p=reject detiene el uso no autorizado de tu dominio, cortando los intentos de suplantación antes de que lleguen a tus clientes.
Pero el camino puede ser complicado. Sin las herramientas adecuadas, analizar los informes de DMARC e identificar a los remitentes legítimos consume mucho tiempo. Por eso soluciones como Red Sift OnDMARC son fundamentales. OnDMARC automatiza el análisis de los datos de autenticación, ofrece una orientación clara para una aplicación segura de la política, y ayuda a las instituciones a solucionar problemas antes de que interrumpan las operaciones. Con soporte nativo para SPF, DKIM, informes TLS y MTA-STS, la plataforma elimina las conjeturas y acelera una adopción segura.
Comprueba tu estado de DMARC en 30 segundos
¿No estás seguro de cuál es tu registro DMARC actual? Compruébalo gratis ahora.
Última palabra: seguridad, confianza y cumplimiento
El panorama de amenazas del correo electrónico está evolucionando rápidamente. Con el phishing, la suplantación y los ataques BEC cada vez más sofisticados, los bancos ya no pueden permitirse retrasar la aplicación de DMARC. Con el socio adecuado en materia de DMARC, las instituciones pueden:
- Bloquear los correos suplantados desde el origen
- Proteger a los clientes y socios
- Preservar la confianza en la marca
- Cumplir con las crecientes expectativas regulatorias
- Reducir el riesgo de sufrir violaciones costosas y devastadoras para la reputación
Para obtener ayuda a la hora de evaluar tu estado actual de DMARC —o elegir un socio que te ayude a llegar a la aplicación—, empieza con esta guía. Porque en el entorno de amenazas actual, una política “p=none” es una alfombra de bienvenida para los atacantes.
Stuart is the Chief Financial and Operations Officer at Red Sift with extensive experience scaling venture-backed SaaS, cybersecurity, AI, and high-growth software businesses.