Alguien te envía un correo electrónico amenazante. Un mensaje de phishing llega a su bandeja de entrada. Un cliente jura que te envió un correo electrónico pero nunca lo recibiste. En todas estas situaciones, encontrar la dirección IP del remitente puede indicarle algo útil: dónde se originó realmente el correo electrónico, qué servidor de correo lo envió y si el remitente es quien dice ser.
Cada correo electrónico lleva un rastro de direcciones IP integradas en sus encabezados. El truco está en saber dónde buscar, qué significan realmente esas entradas y, lo que es más importante, cuándo se ha ocultado deliberadamente el rastro.
Cómo funcionan los encabezados de correo electrónico
Cuando envías un correo electrónico, no viaja directamente desde tu dispositivo a la bandeja de entrada del destinatario. Pasa a través de una cadena de servidores de correo, y cada uno de ellos estampa el mensaje con un Received: encabezado: su dirección IP, marca de tiempo y una nota sobre dónde recibió el mensaje.
Leyendo estos encabezados de de abajo hacia arriba reconstruye la ruta real que tomó el correo electrónico. La entrada inferior es el origen; cada uno de los que están encima es el siguiente salto de la cadena.
Received: from mail.example.com (203.0.113.42) by mx.google.com
Received: from [192.168.1.5] (helo=laptop) by mail.example.comEn este ejemplo, el correo electrónico fue enviado desde 192.168.1.5 (una dirección privada, es decir, en una red local), pasó mail.example.com (203.0.113.42: este es el que vale la pena buscar) y finalmente fue recibido por Google.
Cómo ver los encabezados completos de los correos electrónicos
Gmail
- Abre el correo electrónico
- Haga clic en el menú de tres puntos (⋮) en la esquina superior derecha del mensaje.
- Seleccionar Mostrar original
- Se abre una nueva pestaña con los encabezados de los mensajes sin formato.
Outlook (Web)
- Abre el correo electrónico
- Haga clic en el menú de tres puntos → Ver → Ver fuente del mensaje
O en la aplicación de escritorio: Archivo → Propiedades → el cuadro "Encabezados de Internet" en la parte inferior.
Correo Yahoo
- Abre el correo electrónico
- Haga clic en el menú de tres puntos → Ver mensaje sin formato
Correo de Apple
- Abre el correo electrónico
- Barra de menú: Ver → Mensaje → Todos los encabezados (o presione Shift + Cmd + H)
Encontrar la IP del remitente en los encabezados
Una vez que tengas los encabezados sin editar, busca la cadena de Received: líneas. quieres el más bajo (el más temprano) Received: entrada que contiene una dirección IP que no reconoce como infraestructura interna.
Busque patrones como este:
Received: from [203.0.113.42] (unknown [203.0.113.42])
by mx1.example.com (Postfix) with ESMTP id A1B2CLa IP entre paréntesis es la que quieres. Cópialo y luego usa una herramienta como Búsqueda de IP para saber a qué país, ISP y organización pertenece.
Es posible que también veas un X-Originating-IP encabezado en algunos sistemas de correo: este es un encabezado conveniente que nombra explícitamente la IP del remitente, así que compruébalo también.
El problema de Gmail (y el problema de Outlook)
Esto es lo que la mayoría de las guías omiten: Gmail ha ocultado las direcciones IP de los remitentes desde 2012.
Cuando alguien le envía un correo electrónico mediante Gmail (o Google Workspace), Google elimina la dirección IP real del remitente de los encabezados antes de la entrega. Lo que ves en su lugar es la IP del servidor de Google, normalmente algo en el 209.85.x.x rango. Puedes buscarlo todo lo que quieras; simplemente le dirá que es un servidor de Google en un centro de datos de Google.
Lo mismo se aplica a:
- Outlook/Hotmail/Microsoft 365 — Microsoft elimina las IP del remitente
- Correo iCloud de Apple — Apple elimina las IP del remitente
- Correo de protones — por diseño, por privacidad
Lo que tu lata todavía lo digo desde un encabezado de Gmail:
- Que el correo electrónico fue enviado a través de Gmail (los sellos del servidor lo confirman)
- El tiempo de envío aproximado
- Ya sea desde la web de Gmail, una aplicación móvil o un cliente de terceros (a veces)
Lo que tu no puede decir: la IP real, la ubicación o el ISP del remitente.
Cuándo funciona realmente el seguimiento de correo electrónico
El rastreo de IP de correo electrónico le brinda información real cuando el remitente utiliza:
- Servidores de correo corporativos o autohospedados : casi siempre incluyen la IP de origen
- Correo Yahoo : Yahoo incluye las IP de los remitentes en los encabezados (al menos en el momento de escribir este artículo)
- ProtonMail to non-ProtonMail recipients — ProtonMail agrega
X-Originating-IPen algunas configuraciones para entrega externa - Proveedores de correo electrónico más pequeños : muchos hosts económicos y cuentas de correo electrónico proporcionadas por ISP aún exponen las IP del remitente
- Correos electrónicos spam y phishing : irónicamente, el spam suele tener los encabezados más completos porque no lo envían los principales proveedores.
Qué hacer con la IP que encuentres
Una vez que tengas una dirección IP de los encabezados de correo electrónico, tienes algunos pasos útiles a continuación:
Consulta la geolocalización. Utilice el Herramienta de búsqueda de IP para ver el país, ciudad (aproximado), ISP y organización asociada con la dirección. Para un correo electrónico de phishing, descubrir que proviene de un conocido proveedor de hosting a prueba de balas es información útil.
Comprueba si está en una lista negra. Ejecute la IP a través del Comprobador de lista negra de IP para ver si el servidor de envío ya está marcado como spam o actividad maliciosa.
Ejecute una búsqueda de WHOIS. El Herramienta WHOIS puede brindarle más contexto sobre quién es el propietario del bloque de IP, lo cual es útil para denunciar abusos.
Consulta el registro PTR. A Búsqueda inversa de DNS en la IP le mostrará a qué nombre de host se resuelve. Los servidores de correo legítimos suelen tener un registro PTR que coincide con su dominio. Una IP que se resuelve de forma inversa a algo como dynamic-pool-37.isp.net es una IP residencial; probablemente alguien la envió desde una conexión doméstica.
Lectura de la evidencia de la marca de tiempo
Incluso cuando no puedas obtener una IP utilizable, las marcas de tiempo en los encabezados de los correos electrónicos aún pueden contar una historia. cada uno Received: hop tiene una marca de tiempo con un desplazamiento de zona horaria. Compara la zona horaria en el Date: encabezado (establecido por el cliente de correo del remitente) para las marcas de tiempo de procesamiento del servidor.
Si alguien afirma que le envió un correo electrónico desde Londres pero el Date: muestra el encabezado +0530 (hora estándar de la India), esa es una señal que vale la pena destacar.
Denunciar correos electrónicos abusivos
Si ha rastreado una IP y desea denunciar un abuso, la mayoría de los ISP tienen un contacto de abuso. el Registro de WHOIS para la IP suele incluir un abuse@ dirección de correo electrónico. En el caso del spam, servicios como SpamCop pueden automatizar los informes en múltiples redes.
Para cualquier cosa que implique amenazas o actividad ilegal, conserve los encabezados completos y sin formato y comuníquese con las autoridades pertinentes; los encabezados son evidencia.
Conclusión
El rastreo de IP de correo electrónico funciona bien para correos electrónicos enviados a través de servidores de correo corporativos, Yahoo y proveedores más pequeños. Para Gmail, Outlook y Apple Mail, la IP del remitente desapareció; solo verá la infraestructura del servidor de esas empresas.
Cuando encuentres una IP:
- Búscalo con la búsqueda de IP para geolocalización e ISP
- Comprueba si está en la lista negra para contexto de reputación
- Ejecute una búsqueda de DNS inversa para ver el nombre de host
- QUIÉN ES la IP para encontrar el contacto de abuso
Los encabezados sin formato son el único artefacto forense confiable en un correo electrónico: aprenda a leerlos y sabrá más del 99% de las personas de dónde proviene realmente un mensaje.