Si ves tu propia dirección como remitente de un correo de sextorsión, la causa más habitual es la suplantación; aun así, conviene confirmar que tu cuenta no haya sido tomada y reforzar inmediatamente la seguridad con cambio de contraseña y doble factor.
Motivos por los que el correo parece venir de ti
Suplantación mediante spoofing
El protocolo SMTP que rige el correo electrónico se diseñó sin un mecanismo estricto para autenticar el campo From:. Cualquier servidor puede escribir la dirección que desee, por lo que los estafadores envían mensajes que “parecen” salir de tu buzón aunque en realidad proceden de infraestructuras externas. Los filtros antispam detectan la anomalía comparando los registros SPF, DKIM y DMARC asociados a tu dominio con la ruta real del mensaje y suelen enviarlo directamente a la carpeta de correo no deseado.
Cuenta verdaderamente comprometida
En escenarios menos frecuentes, el atacante ha obtenido tu contraseña o un token de sesión (cookies persistentes, app password, OAuth granulado) y envía los correos desde tu propia bandeja de salida. Pistas que lo delatan:
- Mensajes clonados en Enviados o Borradores.
- Alertas de inicio de sesión desde ubicaciones, dispositivos o sistemas operativos inusuales.
- Registros de reenvío oculto o reglas automáticas que archivan respuestas.
Métodos para confirmar el origen real
| Elemento a revisar | Indicador de spoofing | Indicador de compromiso |
|---|---|---|
| Cabeceras Received | Saltos entre países sin pasar por tu servidor habitual; faltan sellos SPF/DKIM válidos. | Primer salto coincide con tu proveedor y muestra autenticación SASL. |
| Carpeta Enviados | Vacía o sin los correos sospechosos. | Presentes correos idénticos a los recibidos en spam. |
| Registro de actividad | Solo conexiones tuyas conocidas. | IPs, zonas horarias o sistemas operativos desconocidos. |
| Reglas y reenvíos | No existen reglas nuevas. | Aparecen reenvíos a cuentas externas o reglas que borran correos. |
Cómo leer las cabeceras completas
Cada proveedor tiene su atajo (Mostrar original en Gmail, Ver código fuente del mensaje en Outlook Web, etc.). Busca la primera línea Received:; esa es la conexión inicial. Si ves tu propio dispositivo o tu servidor SMTP autenticado, existe compromiso. Si el salto proviene de un servidor desconocido y la validación SPF indicaba softfail o fail, se trata de spoofing.
Acciones inmediatas para proteger la cuenta
- Cambia la contraseña desde un dispositivo libre de malware y conectado a una red fiable. Elige una frase de paso larga, única y gestionada por un gestor de contraseñas.
- Activa la verificación en dos pasos (códigos temporales, llave FIDO o notificación push). Esto bloquea intentos futuros aunque la contraseña se filtre.
- Cierra todas las sesiones y revoca tokens desde la consola de seguridad de tu proveedor.
- Revisa y elimina reglas sospechosas, direcciones de reenvío y apps con permisos OAuth.
- Escanea tu equipo con un antivirus actualizado y una herramienta antimalware de segunda opinión para descartar troyanos que roben credenciales.
- Actualiza el sistema operativo y el navegador para tapar vulnerabilidades conocidas.
Medidas preventivas recomendadas
Fortalece tus credenciales
Utiliza contraseñas únicas y robustas (mínimo doce caracteres alfanuméricos y símbolos opcionales, o mejor aún, frases de paso). Un gestor de contraseñas facilita la creación y el almacenamiento.
Refuerza la reputación del dominio (administradores)
Si gestionas tu propio dominio, configura correctamente SPF para autorizar solo a tus servidores, firma con DKIM y publica una política DMARC que indique a otros proveedores qué hacer ante fallos de autenticación. Además, activa MTA‑STS y DANE para cifrar TSL entre servidores.
Higiene de correo diaria
- Desconfía de correos que exijan acciones urgentes o pagos en criptomonedas.
- No abras adjuntos ni enlaces de remitentes dudosos, incluso si parece tu propia dirección.
- Reporta los mensajes de sextorsión usando la opción Phishing o Spam; ayudarás a entrenar los filtros globales.
- Educa a familiares y compañeros sobre estos engaños; la prevención conjunta reduce exposiciones.
Preguntas frecuentes
¿Debo pagar para que dejen de amenazarme?
No. Los chantajistas envían correos masivos y mienten sobre la existencia de videos comprometedores. Pagar solo confirma que tu dirección está activa y puede atraer más extorsiones.
He encontrado mi contraseña real en el correo, ¿qué significa?
Seguramente la obtuvieron de una filtración antigua y la insertaron para asustarte. Aun así, cámbiala y no la reutilices en otros servicios.
¿Un antivirus basta para protegerme?
El antivirus es una capa más dentro de la estrategia de defensa en profundidad. Combínalo con actualizaciones periódicas, doble factor y buenas prácticas de navegación.
¿Cómo evito que suplanten mi dominio empresarial?
Implementa SPF, DKIM y DMARC con política reject, monitoriza los reportes agregados y solicita la firma BIMI para mostrar tu logo solo cuando el mensaje apruebe la autenticación.
Conclusión
Que un correo de sextorsión lleve tu propia dirección en el remitente suele indicar spoofing, no infección local. Sin embargo, la única manera de estar seguro es revisar cabeceras, actividad de inicio de sesión y reglas internas. Si detectas cualquier anomalía, actúa de inmediato: cambia contraseña, habilita doble factor, expulsa sesiones y analiza tus dispositivos. Mantener políticas SPF/DKIM/DMARC, usar gestores de contraseñas y aplicar actualizaciones ahorra sustos futuros. Con estas medidas, la probabilidad de que un atacante convierta una amenaza masiva en un problema real se reduce drásticamente.