¿Te llegan correos marcados como “Alta importancia” que aparecen sin remitente y consiguen colarse en tu bandeja de entrada a pesar de tener el filtro estricto activado? A continuación encontrarás una guía exhaustiva y actualizada para bloquearlos definitivamente desde la interfaz web de Outlook/Hotmail.
Qué sucede con los mensajes sin remitente — y por qué son peligrosos
Enviar un mensaje sin cabecera From: (o con caracteres Unicode que la ofusquen) es técnicamente posible aprovechando lagunas en la forma en que algunos servidores validan los encabezados SMTP. Esto lo convierten en una táctica popular para:
- Phishing dirigido: al no mostrar una identidad clara, el atacante confía en el factor sorpresa para que abras el mensaje.
- Malware: el enlace o archivo adjunto incluye cargas maliciosas que sortean filtros al no coincidir con firmas habituales.
- Bypass de reglas: muchas reglas de Outlook basan sus condiciones en la dirección del remitente; si no hay remitente, la regla no se evalúa.
Los algoritmos de reputación de Microsoft pueden tardar horas o días en aprender estos patrones. Mientras tanto, la primera línea de defensa eres tú.
Cómo funciona (y falla) el filtrado nativo de Outlook
Cuando llega un mensaje, Outlook clasifica de forma preliminar basándose en:
- Reputación del remitente o dominio.
- Coherencia con SPF, DKIM y DMARC.
- Coincidencia de patrones de contenido y enlaces.
Si el campo From: está vacío u ofuscado, Outlook carece de un dato crítico para asignar la puntuación de riesgo y, en ocasiones, decide colocar el mensaje en la bandeja de entrada como “posiblemente legítimo” para que el usuario dictamine. Aquí es donde entra la necesidad de crear reglas específicas.
Guía paso a paso para bloquear spam sin remitente
| Paso | Acción | Detalles clave |
|---|---|---|
| 1. Usar Outlook en la Web | Inicia sesión en outlook.live.com. La versión web ofrece opciones de filtrado que aún no han llegado a las apps. | |
| 2. Abrir el gestor de reglas | En la vista de carpetas (sin tener ningún correo abierto), haz clic en los tres puntos (…) de la barra superior » Reglas ▸ Administrar reglas. | El engranaje sólo despliega ajustes rápidos; aquí no encontrarás la opción. |
| 3. Crear la regla “Sin remitente” | Nombre: Sin remitente Condición: “Para” incluye tu‑dirección@example.com Acción: “Mover a ▸ Correo no deseado” (o “Eliminar” si lo prefieres) Excepción: “Dirección del remitente contiene ‘@’” Activa “Ejecutar esta regla ahora” para limpiar los mensajes acumulados | La excepción evita falsos positivos en boletines legítimos. |
| 4. Afinar contra direcciones ofuscadas | Crea reglas adicionales con la condición “Dirección del remitente incluye” y pega fragmentos sospechosos (p. ej. amazon‑offers o vexel repair). Para cadenas Unicode, copia la parte legible. | Útil cuando el atacante alterna varios subdominios. |
| 5. Reforzar el filtro nativo | Ve a Configuración ▸ Correo ▸ Correo no deseado ▸ Filtros y marca “Sólo remitentes y dominios seguros”. | Todo remitente desconocido irá directo a Correo no deseado. |
| 6. Reportar constantemente | En cada mensaje similar pulsa Informar ▸ Phishing o Informar ▸ Correo no deseado. | Cada reporte alimenta el back‑end de reputación global de Microsoft. |
Por qué esta regla funciona
La lógica “Si Para incluye mi dirección y NO hay un @ en el campo From: » muevo/elimino” actúa antes que los algoritmos automáticos, y por eso detiene el mensaje en cuanto aterriza. De esta forma te adelantas a la curva de aprendizaje de los filtros automáticos.
Buenas prácticas adicionales para blindar tu buzón
- No hagas clic en enlaces ni descargues adjuntos de correos sin remitente o con remitente sospechoso.
- Activa la autenticación en dos pasos en tu cuenta Microsoft; evita que un atacante use tu sesión para reenviar spam.
- Usa alias: publica tu alias y reserva tu dirección principal para contactos de confianza.
- Adjunta cabeceras completas si abres un caso con el soporte de Microsoft; sin ellas no podrán rastrear la vía de entrada.
- Mantén actualizado tu navegador y vacía caché y cookies cada cierto tiempo, sobre todo si has hecho clic por error en un enlace de spam.
Preguntas frecuentes (FAQ)
¿Por qué Outlook identifica al remitente una vez que muevo el mensaje a “Correo no deseado”?
Al aplicar la acción “Mover a correo no deseado”, Outlook vuelve a interpretar los encabezados y consulta listas internas. Si encuentra un valor coherente en campos secundarios como Return‑Path, lo muestra en la carpeta de spam, aunque en la bandeja de entrada apareciera vacío.
¿La app de escritorio (Outlook New) admite estas reglas?
Las versiones 2024–2025 de Outlook New para Windows y macOS sincronizan las reglas que crees en la web, pero aún no permiten crearlas ni editarlas localmente. Trabaja siempre en el portal web si necesitas ajustes finos.
Uso un dominio propio con Microsoft 365 Family. ¿Debo configurar SPF, DKIM y DMARC?
Sí. Aunque la amenaza sea el correo entrante, los mismos reco‑clientes que envían spam barren dominios mal configurados para suplantarlos. Un registro DMARC p=reject y claves DKIM rotadas cada 12 meses minimizan el riesgo de spoofing.
¿Existe un límite de reglas?
Outlook.com impone un límite de 256 KB para todas las reglas combinadas. Una regla simple como la descrita ocupa unos pocos bytes, por lo que no deberías alcanzar el límite a menos que gestiones docenas de condiciones complejas.
¿Puedo automatizar la limpieza de spam antiguo?
Sí. Activa “Ejecutar esta regla ahora” para que se aplique retroactivamente y, de forma periódica, vacía la carpeta Correo no deseado usando la opción “Vaciar carpeta” o un script con la API Microsoft Graph.
Glosario rápido
- Encabezado SMTP: conjunto de campos que describen la ruta, remitente y destinatario de un correo.
- SPF: registro que indica los servidores autorizados para enviar correo en nombre de un dominio.
- DKIM: firma criptográfica que garantiza la integridad del contenido y la identidad del dominio.
- DMARC: política que combina SPF y DKIM para decir al receptor qué hacer si falla la autenticación.
- Unicode confusor: uso de caracteres visualmente parecidos (homoglifs) para engañar a filtros y usuarios.
Problemas conocidos y cómo solucionarlos
- La regla no se ejecuta — Verifica que la condición “Para” contenga exactamente tu dirección principal. Si usas alias, crea condiciones separadas.
- Falsos positivos — Añade dominios seguros en Configuración ▸ Correo no deseado ▸ Remitentes y dominios seguros. Esto sobrescribe tu regla.
- Exceso de mensajes en Correo no deseado — Programa una limpieza automática cada 30 días en las opciones de almacenamiento.
- Uso empresarial (Microsoft 365 Business) — Considera políticas de Exchange Online Protection (EOP) y filtros de terceros como Defender for Office 365 para una protección multicapa.
Conclusión
El spam sin remitente es una tendencia en auge que se aprovecha de vacíos en la interpretación de encabezados SMTP. La combinación de una regla temprana, un filtro estricto y reportes constantes te permitirá recuperar el control de tu bandeja de entrada con un impacto mínimo en el correo legítimo. Dedica cinco minutos a configurar la regla “Sin remitente” hoy y evitarás horas perdidas filtrando manualmente mañana.