Seguridad en las actividades de captación de clientes: 5 formas de evitar que tu equipo de ventas parezca un grupo de phishing

Voy a ser sincero: la primera vez que un cliente potencial respondió a uno de nuestros correos electrónicos de prospección preguntando «¿es esto un intento de phishing?», no sabía si reírme o entrar en pánico. No habíamos hecho nada malo. El correo era legítimo, la oferta era real y el comercial había dedicado tiempo a personalizarlo. Pero, ¿para ese cliente potencial? Cumplía todos los requisitos de un intento de phishing.

Ese momento se me quedó grabado. Porque el problema no era el correo electrónico en sí, sino todo lo que había detrás. Sin firma DKIM. Un registro SPF incompleto. DMARC configurado en p=none, acumulando polvo. Desde el punto de vista del servidor de correo, éramos prácticamente anónimos.

Y esto no es solo un problema de entrega. El Informe sobre delitos en Internet del FBI ha señalado, año tras año, que el suplantación de identidad en el correo electrónico empresarial es una de las amenazas cibernéticas más costosas. Los clientes potenciales lo saben. Están acostumbrados a desconfiar y, te guste o no, tus correos electrónicos de captación suelen cumplir los mismos requisitos que un correo de phishing.

Garantizar la seguridad de los correos electrónicos de captación de clientes no es solo un problema técnico, sino también un problema de ingresos. Cuando tus mensajes parecen un intento de phishing, da igual lo bien redactados que estén. Así que esto es lo que realmente ayuda: cinco medidas que tu equipo puede tomar, algunas de carácter técnico y otras de comportamiento, para asegurarse de que tus mensajes se traten como la comunicación legítima que son.

1. Asegúrate de que SPF, DKIM y DMARC funcionen de verdad, no solo que estén configurados

La mayoría de los equipos con los que hablo tienen la autenticación «configurada». Lo que eso suele significar es que hay un registro SPF en alguna parte, que DKIM está habilitado en el proveedor de servicios de correo electrónico (ESP) principal y que DMARC está configurado con p=none. Eso no es autenticación, es solo una apariencia de autenticación.

Esto es lo que hacen realmente estos tres elementos cuando funcionan correctamente:

• El SPF indica a los servidores de correo receptores qué direcciones IP están autorizadas a enviar mensajes en nombre de tu dominio. Si tu herramienta de ventas no figura en esa lista, sus correos electrónicos se te envían sin permiso, aunque los hayas configurado tú mismo.
• DKIM añade una firma criptográfica a tus correos electrónicos. Esto demuestra que el mensaje no ha sido alterado durante el envío y que procede realmente de tu infraestructura.
• DMARC es la capa de aplicación. Establece lo siguiente: si SPF o DKIM fallan, esto es lo que hay que hacer: supervisar, poner en cuarentena o rechazar. Además, te envía informes que muestran exactamente qué mensajes pasan y cuáles no.

Lo que la gente suele pasar por alto es ir más allá de p=none en DMARC. Sí, empieza por ahí: primero necesitas visibilidad antes de pasar a la aplicación de las normas. Pero si te quedas en p=none para siempre, básicamente estás diciendo: «Sé que se están produciendo casos de suplantación de identidad, y no me importa». Esfuérzate por pasar a p=reject. Tu capacidad de entrega te lo agradecerá.

2. Utiliza un subdominio para el envío de correos electrónicos en frío

A algunos equipos les cuesta aceptarlo, pero una vez que has visto cómo una campaña de captación en frío arruina la reputación del remitente de un dominio, nunca vuelves a hacerlo a la antigua usanza.

Tu dominio principal, desde el que se envían tus correos electrónicos transaccionales, tus comunicaciones con los clientes y tus boletines informativos, es demasiado valioso como para arriesgarlo en la prospección en frío. Una secuencia mal orientada, una lista comprada, una campaña fallida... y te enfrentarás a un aumento de las denuncias por spam que no se limitará a las actividades de captación. Se extenderá a todo.

En su lugar, configura un subdominio específico. Algo como mail.tuempresa.com o outreach.tuempresa.com. Auténticalo por separado con sus propios registros SPF, DKIM y DMARC. Ahora tu campaña de captación de clientes potenciales funciona de forma independiente; si algo sale mal, el daño queda contenido.

La mayoría de las herramientas de gestión de ventas te permiten configurar esto sin demasiadas complicaciones. Lo más complicado suele ser convencer al equipo de que merece la pena dedicar tiempo a la configuración. Y así es.

3. Revisa todas las herramientas que envían correos electrónicos desde tu dominio

Te hago una pregunta: ¿sabrías nombrar todas las herramientas de tu conjunto que envían correos electrónicos utilizando tu dominio? No solo tu proveedor de servicios de correo electrónico (ESP) principal, sino todas las herramientas. Las secuencias de seguimiento de tu CRM. Los correos de confirmación de tu agenda. Tu herramienta de calentamiento. Esa integración que alguien configuró hace ocho meses y que ya nadie recuerda.

La mayoría de los equipos no pueden responder a esto con seguridad. Y eso es un problema, porque cada una de esas herramientas está correctamente autenticada o no lo está. Si no lo está, esos correos electrónicos no superan las verificaciones SPF o DKIM, lo que significa que el servidor receptor los considera falsos, independientemente del contenido que tengan.

Los informes agregados de DMARC (informes RUA) son la forma de averiguarlo. Te muestran todas las fuentes que envían mensajes en nombre de tu dominio, desglosadas por índices de aprobación y rechazo. A menudo resulta sorprendente: descubrirás herramientas que habías olvidado que existían, integraciones antiguas que siguen activas y servicios de terceros que nunca se añadieron a tu registro SPF.

• Consulta tus informes DMARC RUA y enumera todas las fuentes de envío
• En cada caso: ¿figura en tu registro SPF? ¿Cuenta con firma DKIM?
• Si algo falla: corrige el registro o elimina la fuente

4. Tus comerciales están enviando correos electrónicos de phishing sin darse cuenta

No lo digo en sentido literal, pero desde el punto de vista de un filtro antispam, algunos mensajes de captación son prácticamente indistinguibles de los auténticos. Los filtros antispam no interpretan la intención, sino que detectan patrones. Y muchos de los patrones habituales de los correos electrónicos comerciales son los mismos que utilizan los estafadores.

Algunas cosas que he visto hacer a los comerciales y que perjudican realmente la capacidad de entrega:

• El truco del hilo falso: asuntos como «Re: nuestra conversación» o «A raíz de nuestra llamada» cuando no ha habido ninguna conversación previa. A los clientes potenciales les molesta, los filtros de spam lo marcan como spam y mina rápidamente la confianza.
• Estrategias para crear sensación de urgencia: «Oferta por tiempo limitado», «Actúa ahora», «No te lo pierdas», todo ello incluido en un correo electrónico no solicitado enviado por alguien a quien el destinatario no conoce. El típico lenguaje del phishing.
• Exceso de enlaces: tres enlaces con seguimiento, un calendario incrustado y un archivo PDF adjunto en un correo electrónico de contacto inicial. Eso no es captación de clientes, es una señal de alarma.
• Listas de direcciones incorrectas: enviar mensajes a contactos no verificados o comprados aumenta las tasas de rebote y de reclamaciones. Ambas cosas perjudican gravemente tu reputación como remitente.

Una sesión de 30 minutos con tu equipo de ventas en la que se aborden estos patrones da sus frutos de inmediato en cuanto a tasas de apertura y capacidad de entrega. Preséntalo tal y como es: esto influye directamente en que sus correos electrónicos lleguen a la bandeja de entrada o se pierdan en el limbo.

5. Usa BIMI para que tus correos electrónicos reflejen tu identidad incluso antes de que se abran

Hasta ahora todo se ha centrado en no parecer sospechoso. BIMI consiste en transmitir activamente confianza, y hay una diferencia.

BIMI (Brand Indicators for Message Identification) coloca el logotipo verificado de tu marca junto al nombre del remitente en la bandeja de entrada. Antes de que el cliente potencial lea una sola palabra, ve tu logotipo. Ese reconocimiento visual en una fracción de segundo es de vital importancia en el contacto en frío, donde el destinatario no tiene ninguna relación previa contigo y se forma una opinión instantánea sobre si merece la pena dedicar tiempo a este correo electrónico.

También conviene señalar qué requisitos debe cumplir BIMI para funcionar: tu política DMARC debe estar configurada en p=quarantine o p=reject. Por lo tanto, implementar BIMI te obliga, de forma natural, a llevar a cabo lo que empezaste con la autenticación; es un buen incentivo integrado.

La configuración consiste en publicar un registro DNS BIMI que apunte a una versión SVG de tu logotipo y en obtener un Certificado de marca verificada (VMC) si deseas que el logotipo se muestre en Gmail y otros clientes de correo importantes. Requiere algo más de trabajo que pulsar un botón, pero la señal de confianza que genera es auténtica y se refuerza con el tiempo, a medida que tu marca se vuelve más reconocible en las bandejas de entrada de los destinatarios.

Conclusión: el problema no son tus comerciales, sino tu infraestructura

Cuando ese cliente potencial preguntó si nuestro correo electrónico era un intento de phishing, el representante se sintió mal. Pero no era culpa suya. El correo electrónico estaba bien. Lo que fallaba era todo lo que no se veía: la capa de autenticación, la configuración del dominio y las prácticas de envío que hacían que un correo electrónico legítimo pareciera una amenaza.

Arregla la infraestructura y el problema se resolverá en gran medida por sí solo. Configura SPF, DKIM y DMARC para que se apliquen de forma estricta. Dirige las comunicaciones de captación en frío a través de un subdominio específico. Audita todas las herramientas que interactúan con tu dominio. Forma a tus representantes sobre los patrones que perjudican la capacidad de entrega. Y, cuando estés listo, incorpora BIMI.

No es un trabajo nada glamuroso. Pero marca la diferencia entre un equipo de ventas cuyos mensajes llegan a las bandejas de entrada y otro que se pregunta por qué no recibe ninguna respuesta.

• Acerca de
• Últimas publicaciones

Milena Baghdasaryan

Especialista en contenidos de PowerDMARC

Milena es una hábil escritora y creadora de contenidos con más de 7 años de experiencia en la elaboración de contenidos atractivos sobre TI, ciberseguridad, eventos virtuales y mucho más. Tiene un historial probado de entrega de trabajos de alta calidad para revistas internacionales y se ha graduado en prestigiosas instituciones como la New York University Abu Dhabi, UWC China y el College of Europe.

Últimos mensajes de Milena Baghdasaryan (ver todos)

• Seguridad en las actividades de captación de clientes: 5 formas de evitar que tu equipo de ventas parezca un grupo de phishing - 14 de abril de 2026
• ¿Gmail está filtrando tus correos electrónicos? Causas, síntomas y soluciones - 7 de abril de 2026
• Informe forense DMARC (RUF): qué es, cómo funciona y cómo activarlo - 2 de abril de 2026