Abogados: el phishing que suplanta a tu estudio

Respuesta rápida (actualizada el 04-11-2026): En cuatro dominios de estudios jurídicos chilenos revisados el 04-11-2026, los cuatro publican DMARC, pero tres en p=none (solo registran) y uno en p=quarantine (aparta, no bloquea): ninguno llega a p=reject. Y wolfenson.cl no publica SPF, así que no declara qué servidores pueden enviar con su nombre. Tener el registro no es lo mismo que bloquear el fraude. Revisa tus cabeceras →

El phishing más peligroso para un estudio jurídico no llega con un adjunto raro: llega con el nombre del estudio, el timbre de un socio y un asunto simple. "Factura pendiente". "Actualización de datos bancarios". "Urgente". El cliente no ve una amenaza; ve una gestión pendiente que él mismo empezó. Por eso paga sin preguntar.

El scam clásico contra estudios y empresas es el fraude de la factura: alguien envía un correo con los datos del estudio (a veces copiados del propio sitio) y cambia la cuenta bancaria a la que hay que transferir. El cliente paga, el dinero desaparece y el estudio se entera por el proveedor.

Por qué el cliente confía: porque tu dominio no dice qué es legítimo

Cuando un correo llega "desde" tu dominio, el sistema que lo recibe no tiene cómo saber si lo mandaste tú. No hay una firma que lo compruebe y, sin esa firma, no hay forma de decir "este remitente no es el estudio". Eso es lo que resuelven tres cabeceras:

SPF: qué servidores pueden enviar con tu nombre

SPF es una lista, publicada en tu dominio, de los servidores autorizados a enviar correo con tu nombre. Si no publicas esa lista, o publicas una que no incluye a tu proveedor real de correo, el resultado es que cualquiera puede enviar un correo que dice venir de tu estudio.

DKIM: la firma criptográfica del mensaje

DKIM firma cada mensaje con una clave privada y declara en la cabecera qué clave pública hay que verificar. Si el mensaje llega sin firma válida, es porque salió de otro lado.

DMARC: la política que dice qué hacer

DMARC es el registro que declara qué hacer con los correos que no pasan la autenticación: rechazarlos, dejarlos en cuarentena o aceptarlos y reportar. Sin ese registro, el camino del "nada" queda abierto: el correo pasa y nadie mide nada.

Y hay un detalle que confunde a todo el mundo: tener el registro DMARC no significa que los correos falsos se detengan. p=none solo registra y reporta: el correo que se hace pasar por tu estudio sigue llegando a la bandeja. p=quarantine lo aparta a una carpeta aparte. Solo p=reject dice "no lo entregues".

Lo que revisamos en dominios de estudios jurídicos en Chile

Antes de escribir esto consultamos los registros DNS públicos de cuatro dominios de estudios jurídicos en Chile (04-11-2026). El registro DMARC de cada uno es el de _dmarc.<dominio> y el SPF es el registro TXT del dominio:

• wolfenson.cl: publica DMARC (p=none, con reporte a un buzón) pero no publica registro SPF. Sin esa lista no hay contra qué fallar el chequeo SPF: el dominio no declara qué servidores pueden enviar con su nombre, así que un remitente falso no queda marcado como no autorizado.
• cbg.cl: publica DMARC p=none y SPF v=spf1 +a +mx +ip4:... ~all. Está declarado, pero en modo de monitoreo: el correo falso sigue llegando.
• laubrieycia.cl: publica DMARC p=none y SPF v=spf1 include:_spf.cpanelhost.cl ~all. Mismo caso: declara, no bloquea.
• abogadoscentral.cl: es el más estricto de la muestra: DMARC p=quarantine con reporte y SPF con sus rangos de IP. Aun así, cuarentena no es rechazo: el correo se aparta, pero no se bloquea.

El patrón de la muestra: ninguno de los cuatro llega a p=reject y uno ni siquiera declara SPF. Todos tienen el registro DMARC —que es el primer paso, y no es menor—, pero en la mayoría de los casos solo sirve para medir, no para detener.

Es una muestra, no un censo, y es una foto del 04-11-2026: los sitios cambian. La publicamos igual porque el patrón es lo que importa. En estudios jurídicos con dominio propio, llegar a p=reject sigue siendo la excepción.

Qué se puede hacer en una tarde

1. Publicar el registro DMARC, aunque sea en modo de solo monitoreo al principio (v=DMARC1; p=none; rua=mailto:...). Con p=none no se rompe nada y ya se ven los remitentes legítimos que se están escapando.
2. Publicar SPF con los servidores que de verdad envían, contando el proveedor de correo y también las plataformas que usan (formularios, CRM, firma electrónica).
3. Activar DKIM en el proveedor de correo: normalmente ya viene disponible y hay que publicarlo en DNS.
4. Revisar los reportes DMARC y enlistar a los remitentes que no reconoces. Cada remitente desconocido es un vector de suplantación.
5. Subir la política a p=quarantine y luego a p=reject, una vez que los reportes estén limpios: es el paso que de verdad corta el fraude.
6. Un procedimiento de pago que no dependa del correo: si una factura pide transferir a una cuenta nueva, la confirmación va por un canal distinto (el teléfono que el cliente ya tenía), nunca respondiendo al mismo correo, y con una segunda persona del estudio revisando el cambio.

Lo que las cabeceras no arreglan

Las cabeceras dicen "este correo viene del estudio"; no dicen "paga esta cuenta". La parte humana sigue siendo la última barrera: los cambios de cuenta, los plazos apremiantes y los pagos nuevos necesitan un control interno, no solo una regla técnica.

Fuentes

• RFC 7489 (DMARC), RFC 7208 (SPF) y RFC 6376 (DKIM): normas primarias del estándar de autenticación de correo.
• Registros DNS públicos consultados el 04-11-2026: consultas TXT de _dmarc.wolfenson.cl, _dmarc.cbg.cl, _dmarc.laubrieycia.cl y _dmarc.abogadoscentral.cl, y de los TXT de wolfenson.cl, cbg.cl, laubrieycia.cl y abogadoscentral.cl. Fuente primaria, con fecha de observación.
• Ley 21.719 (Boletín 18.623-07): el registro de la BCN (idNorma 1209272) muestra vigencia el 1 de diciembre de 2026 y existe un proyecto de postergación al 1 de diciembre de 2027 pendiente de pleno y promulgación, así que la fecha exacta debe verificarse.

Próximo paso

• Crea tu cuenta en Personnn: gratis para empezar, sin tarjeta, y prueba el agente con una tarea real.
• Revisa el estado de tu correo con el equipo: te decimos qué cabeceras publica hoy tu dominio y qué te falta.
• Conoce nuestros servicios de IA aplicada: hacemos agentes a medida, blindamos ciberseguridad y desarrollamos infraestructura web de alto rendimiento.