La seguridad del emailing empresarial no se basa únicamente en SPF, DKIM y DMARC. Los dos incidentes de Brevo de septiembre de 2026 muestran que una cuenta autorizada o una clave de infraestructura comprometida puede eludir estas protecciones. Para reducir el riesgo, una pyme debe separar los accesos, imponer la autenticación multifactor, limitar los permisos, regular las claves API y supervisar las campañas inusuales.
¿Qué ocurrió en Brevo en septiembre de 2026?
Brevo sufrió dos incidentes distintos en septiembre de 2026: una vulnerabilidad de aislamiento entre clientes que utilizaban la autenticación SAML SSO y, después, el secuestro de un identificador de Cloudflare. El primer incidente permitió acceder a cuentas de clientes. El segundo inyectó un script malicioso en contenidos alojados o distribuidos por Brevo.
El 10 de septiembre de 2026, Brevo confirmó el acceso no autorizado a 138 cuentas. Según el balance publicado por la empresa, 6 cuentas sirvieron para enviar phishing, 43 sufrieron un export de contactos y 93 no registraron actividad maliciosa significativa. Brevo indica haber cerrado la vía de acceso SSO en menos de dos horas y restablecido las sesiones activas.
BitBox confirmó por separado el export de su lista completa y el envío de dos campañas de phishing. Trezor había detectado ya el 9 de septiembre de 2026 el uso no autorizado de su cuenta de newsletter. Estos hechos ilustran un riesgo a menudo infravalorado: una dirección exportada puede alimentar ataques dirigidos mucho después de la resolución técnica del incidente.
El 14 de septiembre de 2026, otro incidente afectó a páginas, formularios, widgets Conversations y cargadores de kit de desarrollo de software, o SDK, servidos por Brevo. Según el informe de Brevo, un identificador de API de Cloudflare antiguo, dotado de privilegios completos y almacenado en código aplicativo, había sido comprometido.
La inyección ClickFix duró unas cinco horas y media, aproximadamente entre las 16:05 y las 20:30 UTC según las franjas publicadas por Brevo y Sansec en 2026. ClickFix designa una técnica que muestra falsas instrucciones de solución de problemas para llevar al usuario a ejecutar por sí mismo un comando malicioso. El script apuntaba especialmente a los usuarios de Windows e intentaba instalar un plugin WordPress lorsqu’un administrador conectado visitaba un sitio afectado.
Sansec estimó en septiembre de 2026 que los scripts de Brevo afectados estaban integrados en más de 100 000 sitios. Esta cifra mide una exposición potencial, no el número de sitios efectivamente comprometidos, que Brevo no ha publicado. Además, Brevo declaró que el envío de correos electrónicos, la API, app.brevo.com y los datos de las cuentas de clientes no se habían visto afectados por este segundo incidente.
¿Por qué SPF, DKIM y DMARC no detuvieron el phishing?
SPF, DKIM y DMARC verifican si un servidor o un dominio está autorizado para enviar un mensaje, pero no determinan si la campaña es legítima. En septiembre de 2026, los mensajes fraudulentos enviados desde cuentas comprometidas de Brevo utilizaron una infraestructura autorizada y, por tanto, pudieron superar los controles habituales de autenticación.
SPF indica qué servidores pueden enviar para un dominio. DKIM añade una firma criptográfica al mensaje. DMARC define cómo actuar lorsqu’un mensaje falla estos controles y proporciona rapports. Según el National Institute of Standards and Technology en 2026, estos mecanismos siguen siendo necesarios contra la suplantación de dominio y también contribuyen a la entregabilidad.
Pero responden a la pregunta «¿este remitente está autorizado?», no a la pregunta «¿esta campaña ha sido validada por la empresa?». Lorsqu’un atacante toma el control de una cuenta ya autorizada, el correo electrónico puede ser técnicamente auténtico y, aun así, ser malicioso. Ese es precisamente el riesgo que los responsables no técnicos ignorent a menudo.
La seguridad del emailing empresarial debe, por tanto, añadir una capa de control de negocio: umbral de alerta sobre el volumen enviado, validación de las campañas sensibles, supervisión de los nuevos remitentes y revisión de los exports de contactos. Una variación repentina del país de conexión, del número de destinatarios o del dominio de destino también merece una alerta.
En los proyectos que llevamos a cabo, vemos a menudo que la autenticación del dominio se trata como el final del trabajo. En realidad, es su base. Después, los problemas de entregabilidad y las anomalías de campaña deben seguirse de forma conjunta, porque las causas de una bajada de las tasas de apertura también pueden revelar una configuración degradada o un uso inusual.
¿Cómo reforzar la seguridad del emailing empresarial?
Una seguridad del emailing empresarial sólida combina cuentas nominativas, autenticación multifactor, permisos mínimos e identificadores técnicos limitados. En 2026, Brevo permite controlar por separado los permisos sobre los contactos, los exports, las campañas, los dominios y los identificadores API o SMTP. Esta granularidad reduce el impacto de un acceso comprometido.
Una cuenta nominativa pertenece a una sola persona. Permite retirar rápidamente un acceso y atribuir una acción a su autor, a diferencia de una contraseña de administrador compartida. Los proveedores deben disponer de su propio acceso, limitado a su misión y desactivado en cuanto finalice el contrato.
Estos son los controles que deben aplicarse con prioridad:
- imponer la autenticación de dos factores, o 2FA, a todos los administradores y ampliarla a los inicios de sesión SSO;
- reservar la exportación de contactos a las personas que tengan una necesidad documentada;
- separar los derechos de creación, validación y envío de las campañas sensibles;
- restringir cada clave API y SMTP a las direcciones IP autorizadas cuando la arquitectura lo permita;
- preferir OAuth con solo los permisos necesarios para las integraciones compatibles;
- revisar periódicamente los usuarios, las aplicaciones conectadas, los remitentes y los dominios;
- activar alertas sobre los inicios de sesión, las exportaciones y los volúmenes de envío inusuales.
Brevo admite en 2026 la 2FA mediante aplicación de autenticación o SMS, también con SSO. No obstante, la Cybersecurity and Infrastructure Security Agency recomienda una autenticación multifactor resistente al phishing, especialmente para los accesos administrativos. Una llave física o un método vinculado criptográficamente al servicio resiste mejor que un código recibido por SMS.
Las restricciones de direcciones IP propuestas por Brevo pueden configurarse por separado para las claves API y SMTP. Una API es una interfaz utilizada por dos programas para comunicarse; SMTP es el protocolo de envío de correos electrónicos. Este filtrado es especialmente pertinente para un servidor con una dirección IP fija, pero puede dificultar el trabajo de un equipo móvil o de una infraestructura cuyas direcciones cambian con frecuencia.
Para las integraciones OAuth, Brevo documenta en 2026 autorizaciones detalladas de lectura o escritura y tokens de acceso válidos durante una hora. Sinceramente, dar un acceso completo «por si acaso» no ahorra tiempo: es una deuda de seguridad. La configuración adecuada accorde solo las operaciones indispensables para el conector.
¿Qué controles elegir según el riesgo y el efforto?
Las mejores decisiones empiezan por los accesos humanos y luego abarcan las credenciales técnicas y la detección. La autenticación multifactor y las cuentas nominales requieren poco efforto. La restricción IP y la rotación automatizada de secretos exigen más preparación, pero limitan fortemente las posibilidades de explotación de una clave robada.
| Control | Riesgo tratado | Effort indicativo | Decisión |
|---|---|---|---|
| Cuentas nominales y 2FA | Robo o uso compartido de acceso humano | Bajo | Para desplegar primero |
| Permisos mínimos | Export o envío no autorizado | Bajo a medio | Prever una revisión periódica |
| Restricción IP de las claves | Uso de una clave desde un servidor desconocido | Medio | Muy eficaz con IP fijas |
| OAuth con portados limitados | Integración demasiado potente | Medio | Debe preferirse cuorndo es compatible |
| Rotación y almacén de secretos | Clave antigua expuesta en código | Media a alta | Prioritario para las aplicaciones críticas |
| Alertas sobre campañas y exports | Abuso de un acceso aun así autorizado | Medio | Indispensable para detectar rápido |
El segundo incidente de Brevo muestra por qué una clave plenamente privilegiada y duradera no debería permanecer en el código fuente. El 17 de septiembre de 2026, Brevo indicó haberla sustituido por tokens de Cloudflare de corta duración y con derechos restringidos. La empresa también anunció un almacenamiento centralizado de los secretos, su rotación automática y nuevas alertas sobre las modificaciones sensibles.
Por parte de la agencia, el reflejo es cartografiar el recorrido de los datos y los secretos antes de conectar un formulario, un sitio WordPress o una aplicación de negocio. Una dependencia cargada desde un proveedor puede convertirse en un canal de ataque sin que la cuenta de emailing esté comprometida. Este razonamiento coincide con la vigilancia necesaria sobre el efecto cascada de NIS2 en los subcontratistas.
Con un presupuesto reducido, más vale cinco controles realmente explotados que una herramienta de seguridad compleja que nunca se consulta. Empiece por las cuentas nominativas, la 2FA, la eliminación de los accesos dormantes y las alertas sobre los envíos. La rotación automatizada y el almacén de secretos pasan a ser prioritarios en cuanto una API email alimenta varios sitios o una aplicación comercial.
¿Qué hacer si una cuenta de emailing está comprometida?
Tras una cuenta de emailing comprometida, primero hay que bloquear los accesos activos y después sustituir todos los secretos que puedan haber sido copiados. El procedimiento de Brevo documentado en 2026 prevé el cambio de la contraseña, la recreación de las claves API, la activación de la 2FA, la restricción de las IP y la regeneración de las credenciales SMTP.
Revocar solo la contraseña no es suficiente. Una sesión ya abierta, una clave API copiada o una credencial SMTP pueden seguir funcionando de forma independiente. También hay que suspender las campañas, examinar los remitentes añadidos y buscar las exports de contactos o cambios de permisos.
Los registros de actividad de Brevo registran en 2026 las conexiones, las modificaciones de usuarios y de derechos, las operaciones sobre las claves API, los cambios de dominios o de remitentes y los eventos de 2FA. Su conservación es de 90 días en la mayoría de las ofertas y de 12 meses en Enterprise, según la documentación de Brevo. Exporter rápidamente estos elementos evita perder rastros útiles.
A continuación viene el análisis de impacto: ¿qué datos se han consultado, qué mensajes se han enviado y qué sitios han cargado un componente afectado? Si se ven afectados datos personales, la empresa debe evaluar sus obligaciones en virtud del RGPD con su delegado de protección de datos o su asesor. La calificación depende de los hechos; no debe deducirse de una simple alerta del proveedor.
Por último, avise a los destinatarios con instrucciones precisas si el riesgo está acreditado: asunto de los mensajes fraudulentos, dominio utilizado, enlaces que deben evitarse y canal oficial de verificación. Una comunicación demasiado vaga ayuda poco. Para situar el incidente dentro de un método de respuesta más amplio, el artículo sobre los reflejos ante un ciberataque distingue útilmente entre hechos confirmados, exposición y compromiso.
Delimitar los accesos, las dependencias y el plan de revocación antes del incidente evita la mayoría de las decisiones improvisadas. Una mirada externa puede ayudar a relacionar la configuración de emailing, la seguridad del sitio y las responsabilidades internas sin recargar innecesariamente la operativa.
Preguntas frecuentes sobre la seguridad de una plataforma de emailing
¿Es Brevo seguro para una pyme en 2026?
Brevo ofrece en 2026 controles útiles, entre ellos la 2FA, los permisos detallados, las restricciones de IP y los registros de actividad. No obstante, la seguridad depende de su configuración, de las integraciones conectadas y de la capacidad de la empresa para detectar y luego revocar rápidamente un acceso anormal.
¿Con qué frecuencia hay que cambiar una clave API de correo electrónico?
Una clave API de email debe sustituirse inmediatamente después de cualquier sospecha de exposición y lors de la salida de un proveedor que podía acceder a ella. Una rotación automática es preferible para los sistemas críticos; la frecuencia normale debe adaptarse a la vida útil del secreto y a las posibilidades de despliegue sin interrupción.
¿Es suficiente la autenticación de doble factor por SMS para el emailing?
La autenticación de doble factor por SMS es preferible a una contraseña sola, pero resiste peor el phishing y el secuestro de línea. Para una cuenta de administrador, una aplicación de autenticación o, mejor aún, un método multifactor resistente al phishing reduce aún más el riesgo.
¿Hay que eliminar los formularios Brevo de un sitio WordPress?
Un formulario Brevo no debe eliminarse automáticamente a causa del incidente de septiembre de 2026. Hay que inventorariar los scripts cargados, mantener WordPress y sus plugins, limitar las cuentas de administrador y prever un medio para desactivar rápidamente una dependencia externa en caso de alerta.