Spam

¿Qué es el spam?

El spam es toda comunicación electrónica masiva no solicitada, enviada de forma indiscriminada a un gran número de destinatarios. Aunque el término se asocia principalmente con el correo electrónico no deseado, el spam abarca también SMS, mensajes en redes sociales, comentarios en blogs, llamadas automatizadas (robocalls), y cualquier otro canal de comunicación digital utilizado para enviar contenido no consentido.

Según datos de Statista y Cisco Talos Intelligence, en 2025 el spam representó aproximadamente el 45 % del tráfico global de correo electrónico, lo que equivale a unos 160 000 millones de emails de spam enviados diariamente. Aunque los filtros antispam modernos detienen más del 99 % de estos mensajes, el volumen restante sigue siendo suficiente para causar pérdidas económicas estimadas en 20 000 millones de dólares anuales a nivel mundial.

Historia del spam

Tipos de spam

Clasificación por canal

Clasificación por objetivo

Infraestructura técnica del spam

Cómo se envía spam masivo

Comprender la infraestructura de envío es fundamental para el análisis forense, ya que permite rastrear el origen de las campañas.

Botnets

Las botnets son la infraestructura principal del spam moderno. Una botnet es una red de miles o millones de ordenadores infectados con malware (bots o zombies) que reciben instrucciones de un servidor de comando y control (C2).

Botnets históricas de spam:

Open relays

Un open relay es un servidor de correo mal configurado que permite enviar email sin autenticación, siendo utilizado como plataforma de envío por los spammers.

Servidor SMTP legítimo (bien configurado):
  → Requiere autenticación (usuario + contraseña)
  → Solo envía email de dominios autorizados
  → Verifica SPF/DKIM

Open relay (mal configurado):
  → No requiere autenticación
  → Acepta email de cualquier remitente
  → Reenvía a cualquier destinatario
  → Los spammers lo explotan para envío masivo

Bulletproof hosting

Los proveedores de bulletproof hosting ofrecen servicios de alojamiento web y email que ignoran deliberadamente las quejas de abuso y las solicitudes de retirada de contenido. Suelen operar en jurisdicciones con legislación laxa:

Técnicas de evasión de filtros

Análisis forense de spam

El análisis forense de spam consiste en examinar emails no deseados para identificar su origen, infraestructura de envío, y propósito, con el fin de aportar evidencia en procedimientos judiciales o investigaciones de seguridad.

Análisis de cabeceras de email

Las cabeceras (headers) de un email contienen metadatos técnicos que registran la ruta del mensaje desde el remitente hasta el destinatario. Son la fuente de información más valiosa para el análisis forense.

Cabeceras clave para el análisis forense:

Ejemplo de cabeceras de un email de spam:

Return-Path: <bounce-12345@spam-sender.ru>
Received: from mail.isp-victima.es (mail.isp-victima.es [203.0.113.50])
    by mx.google.com with ESMTPS id abc123
    for <victima@gmail.com>;
    Mon, 30 Mar 2026 08:15:22 +0200 (CEST)
Received: from unknown (HELO smtp-out.spam-network.com) (91.234.56.78)
    by mail.isp-victima.es with SMTP;
    Mon, 30 Mar 2026 08:15:18 +0200
Received: from bot-infected-pc.home (192.168.1.100)
    by smtp-out.spam-network.com;
    Mon, 30 Mar 2026 06:15:14 +0000
From: "Banco Santander" <alertas@banco-santander.es>
Reply-To: reclamaciones@banco-verificar.com
To: victima@gmail.com
Subject: [URGENTE] Verificación de cuenta necesaria
Date: Mon, 30 Mar 2026 08:15:10 +0200
Message-ID: <abc123.spam-network.com>
X-Mailer: PHPMailer 5.2.6
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="----=_NextPart_000"
Authentication-Results: mx.google.com;
    spf=fail (google.com: domain of banco-santander.es does not designate
    91.234.56.78 as permitted sender);
    dkim=none;
    dmarc=fail (p=REJECT)

Proceso forense de análisis de spam

Verificación SPF, DKIM y DMARC

Estos tres protocolos son fundamentales para la autenticación de email y, por tanto, para el análisis forense de spam.

SPF (Sender Policy Framework)

SPF permite al propietario de un dominio especificar qué servidores de correo están autorizados para enviar email en su nombre.

Registro DNS TXT para ejemplo.es:
v=spf1 ip4:203.0.113.0/24 include:_spf.google.com -all

Significado:
- ip4:203.0.113.0/24 → Autoriza IPs de este rango
- include:_spf.google.com → Autoriza servidores de Google Workspace
- -all → Rechazar emails de cualquier otra IP (hard fail)

DKIM (DomainKeys Identified Mail)

DKIM añade una firma criptográfica a cada email que permite verificar que el contenido no ha sido alterado en tránsito y que procede del dominio que dice.

Cabecera DKIM en el email:
DKIM-Signature: v=1; a=rsa-sha256; d=ejemplo.es; s=selector1;
    h=from:to:subject:date; bh=abc123...; b=xyz789...

Verificación:
1. Extraer la firma (b=)
2. Obtener clave pública de DNS: selector1._domainkey.ejemplo.es
3. Verificar la firma con la clave pública
4. Comprobar que el hash del cuerpo (bh=) coincide

DMARC (Domain-based Message Authentication, Reporting & Conformance)

DMARC unifica SPF y DKIM estableciendo una política que indica a los servidores receptores qué hacer cuando ambos fallan.

Registro DNS TXT: _dmarc.ejemplo.es
v=DMARC1; p=reject; rua=mailto:dmarc@ejemplo.es; pct=100

Significado:
- p=reject → Rechazar emails que fallen SPF Y DKIM
- rua → Dirección para informes de agregación
- pct=100 → Aplicar al 100% de los mensajes

Herramientas para análisis forense de spam

Marco legal del spam en España

LSSI-CE: Ley 34/2002 de Servicios de la Sociedad de la Información

La Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE) es la norma principal que regula el spam en España.

Artículo 21: prohibición de comunicaciones comerciales no solicitadas

«Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.»

Excepciones (art. 21.2): Se permite el envío sin consentimiento previo cuando:

Artículo 22: derechos del destinatario

Sanciones por spam según la LSSI

RGPD y LOPDGDD: protección de datos

El envío de spam implica necesariamente el tratamiento de datos personales (dirección de email), lo que activa la normativa de protección de datos:

Directiva ePrivacy (2002/58/CE)

La Directiva ePrivacy, transpuesta parcialmente a la LSSI, establece el marco europeo para la privacidad en las comunicaciones electrónicas:

Código Penal: cuando el spam es delito

El spam puede ser constitutivo de delito cuando es vehículo de conductas tipificadas penalmente:

Casos reales de investigaciones de spam

Caso 1: campaña masiva de phishing bancario (España, 2024)

• Descripción: Campaña de spam dirigida a clientes de 5 bancos españoles, suplantando comunicaciones legítimas sobre la normativa PSD2
• Volumen: Más de 2 millones de emails enviados en 72 horas
• Infraestructura: Botnet de 15 000 equipos infectados distribuidos en 40 países
• Víctimas: 847 personas proporcionaron credenciales, pérdidas totales de 1,2 millones de euros
• Análisis forense: El perito rastreó las cabeceras hasta un servidor C2 en Ucrania. El análisis de los dominios de phishing (registrados 48 horas antes) y la ausencia de SPF/DKIM proporcionaron evidencia concluyente de fraude
• Resultado: Detención de 3 miembros de la organización. El informe pericial fue prueba fundamental

Caso 2: spam de competencia desleal (Barcelona, 2023)

• Descripción: Empresa del sector turístico envió emails masivos difamando a un competidor, utilizando dominios similares al del competidor
• Análisis pericial: El perito identificó que los emails procedían de un servidor contratado por la empresa demandada (WHOIS + cabeceras + registros de facturación del proveedor de hosting)
• Marco legal: LSSI art. 21 (comunicaciones no solicitadas) + Ley de Competencia Desleal + art. 20 LSSI (identificación del remitente)
• Resultado: Condena por competencia desleal, indemnización de 85 000 euros. El dictamen pericial informático fue determinante

Caso 3: ransomware distribuido vía spam (Valencia, 2025)

• Descripción: Campaña de spam con adjuntos Excel con macros maliciosas dirigida a PYMEs españolas. El malware descargaba ransomware Lockbit 3.0
• Víctimas: 23 empresas cifradas, rescates solicitados de 10 000-50 000 € en Bitcoin
• Análisis forense: Análisis de las cabeceras de los emails originales, ingeniería inversa del macro malicioso, rastreo de la wallet de Bitcoin, análisis de la infraestructura C2
• Papel del perito: Informe pericial para la reclamación al seguro de ciberriesgo, demostrando que el vector de entrada fue un email de spam que eludió las protecciones de la empresa (el spam contenía un adjunto .xlsm que no fue bloqueado por el filtro antispam)

Caso 4: spam electoral ilegal (España, 2024)

• Descripción: Partido político envió 500 000 SMS no solicitados a ciudadanos durante el periodo de campaña electoral
• Análisis: Los destinatarios no habían dado consentimiento y los datos procedían de una base de datos comercial adquirida sin cumplir el RGPD
• Sanciones: 120 000 € (AEPD, por tratamiento ilícito de datos) + 60 000 € (Junta Electoral, por comunicación electoral irregular)
• Relevancia: Demostró que el spam por SMS tiene el mismo tratamiento legal que el spam por email

Cómo reportar y denunciar spam en España

Canales de reporte

Documentación necesaria para denuncia

Filtrado antispam: tecnologías y limitaciones

Técnicas de filtrado

Tasas de error

Spam y el perito informático forense

Escenarios de actuación pericial

Contenido del informe pericial sobre spam

Prevención y mejores prácticas

Para usuarios individuales

Para empresas

Para remitentes legítimos (email marketing)

Estadísticas y tendencias del spam (2025-2026)

Tendencias emergentes

Spam y responsabilidad del ISP/proveedor de email

Obligaciones de los proveedores de servicios de internet

Los proveedores de servicios de internet (ISP) y de correo electrónico tienen obligaciones legales y técnicas en relación con el spam:

Responsabilidad del administrador de sistemas

En entornos corporativos, el administrador de sistemas tiene obligaciones específicas:

Spam en redes sociales y plataformas de mensajería

Spam en redes sociales

Spam en WhatsApp y Telegram

El spam por mensajería instantánea plantea desafíos forenses específicos:

WhatsApp:

• Cifrado extremo a extremo (E2E) impide la interceptación en tránsito
• Los metadatos (remitente, fecha, frecuencia) sí están disponibles para Meta
• La extracción forense requiere acceso al dispositivo o al backup
• Los grupos de WhatsApp son utilizados para spam masivo (límite: 256 miembros original, ahora 1024)

Telegram:

• Los canales públicos son vectores frecuentes de spam
• Los bots de Telegram se usan para automatizar el envío
• Los mensajes de Telegram se pueden reenviar masivamente
• La extracción forense es más compleja debido al almacenamiento en la nube de Telegram

Análisis forense avanzado de campañas de spam

Correlación de campañas

Cuando se investiga una campaña de spam de gran escala, el perito utiliza técnicas de correlación para vincular múltiples emails a la misma fuente:

Técnicas de atribución

La atribución definitiva del origen de una campaña de spam es uno de los mayores retos del análisis forense:

Preservación forense de evidencia de spam

El impacto económico del spam

Costes directos para las empresas

Costes para la sociedad

Preguntas frecuentes

¿Cómo sé si mi servidor de email está en una lista negra de spam?

Puedes verificarlo en herramientas como MXToolbox Blacklist Check, MultiRBL.valli.org, o Spamhaus ZEN. Si tu IP o dominio aparece en una lista negra, significa que ha sido identificado como fuente de spam y tus emails legítimos pueden ser rechazados por otros servidores.

¿Puedo enviar emails comerciales a clientes que me compraron hace 5 años?

Depende. Si tienes una relación comercial previa y los productos que ofreces son similares, la excepción del artículo 21.2 LSSI podría aplicarse. Sin embargo, el principio de minimización del RGPD exige que los datos se mantengan solo el tiempo necesario. Tras años sin interacción, el consentimiento puede haberse diluido. Lo más seguro es solicitar un nuevo consentimiento.

¿Un email de phishing siempre es técnicamente spam?

Desde el punto de vista técnico y legal, sí: es una comunicación no solicitada enviada masivamente. Sin embargo, el phishing tiene un componente delictivo adicional (fraude, robo de credenciales) que el spam comercial no tiene. A nivel forense, se analizan de forma similar (cabeceras, infraestructura), pero las conclusiones jurídicas son distintas.

¿Pueden sancionarme si mi servidor es usado como open relay para enviar spam?

Aunque la responsabilidad principal recae en el spammer, el administrador de un servidor que funciona como open relay puede enfrentarse a consecuencias: inclusión en listas negras (afectando a todos los usuarios legítimos del servidor), posible responsabilidad civil por negligencia en la configuración, y en el ámbito de la LSSI, podría considerarse una falta de diligencia del prestador de servicios. Un informe pericial puede determinar si la configuración del servidor era negligente.

¿El spam telefónico (robocalls) tiene el mismo tratamiento legal?

El spam por vía telefónica se regula tanto por la LSSI como por la Ley General de Telecomunicaciones (LGT). La Lista Robinson (art. 23 LOPDGDD) permite a los ciudadanos excluirse de comunicaciones comerciales telefónicas. Las sanciones son similares a las del spam por email. Además, la Ley 11/2022 (nueva LGT) refuerza la protección contra llamadas comerciales no deseadas.

¿Qué es el spam SEO (spamdexing) y es ilegal?

El spam SEO incluye técnicas como el keyword stuffing, cloaking, link farms, y la inyección de contenido spam en webs ajenas (comment spam, trackback spam). Aunque no está directamente tipificado en la legislación española, puede constituir competencia desleal (Ley 3/1991), y si implica acceso no autorizado a webs ajenas, puede ser delito informático (art. 264 CP). Google penaliza estas prácticas con desindexación.

¿Las listas de correo opt-in se consideran spam?

No, siempre que cumplan los requisitos de la LSSI y el RGPD: consentimiento libre, específico e informado del suscriptor, identificación clara del remitente, indicación del carácter publicitario, y mecanismo sencillo de baja en cada comunicación. El registro del momento y forma del consentimiento (doble opt-in con confirmación por email) es la mejor protección ante posibles reclamaciones.

Glosario técnico de términos relacionados con el spam

Spam y protección de infraestructuras críticas

Las infraestructuras críticas (energía, agua, transporte, sanidad) son objetivos especiales de campañas de spam dirigido (spear phishing) que utilizan el correo electrónico como vector de entrada:

Ataques documentados a infraestructuras críticas vía email

Normativa NIS2 y spam

La Directiva NIS2 (UE 2022/2555), transpuesta a España mediante el Real Decreto-ley de transposición, impone a las entidades esenciales e importantes obligaciones específicas de gestión de riesgos que incluyen la protección contra el spam como vector de ataque:

Checklist para el perito: análisis forense de una campaña de spam

Comparativa internacional de legislación antispam

Configuración recomendada SPF/DKIM/DMARC para proteger tu dominio

Una de las intervenciones más frecuentes del perito informático es recomendar la implementación correcta de SPF, DKIM y DMARC para proteger un dominio contra la suplantación. Esta es la configuración recomendada paso a paso:

Referencias y fuentes

1. Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE) — BOE-A-2002-13758. Disponible en: https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758

2. RGPD — Reglamento (UE) 2016/679, artículos 6, 7, 17, 21, 83. Disponible en: https://www.boe.es/doue/2016/119/L00001-00088.pdf

3. LOPDGDD — Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. BOE-A-2018-16673.

4. Directiva 2002/58/CE — Directiva ePrivacy sobre el tratamiento de datos personales y protección de la intimidad en el sector de las comunicaciones electrónicas.

5. Cisco Talos Intelligence — Email & Spam Data. Disponible en: https://talosintelligence.com/

6. Spamhaus — The Spamhaus Project: IP and Domain Reputation Data. Disponible en: https://www.spamhaus.org/

7. INCIBE — Guía sobre spam y comunicaciones no deseadas. Instituto Nacional de Ciberseguridad de España. Disponible en: https://www.incibe.es/

8. AEPD — Memoria anual 2024: resoluciones sancionadoras por comunicaciones comerciales no solicitadas. Disponible en: https://www.aepd.es/

9. IBM X-Force Threat Intelligence Index 2025 — IBM Security, 2025. Disponible en: https://www.ibm.com/reports/threat-intelligence

10. Verizon DBIR 2025 — Data Breach Investigations Report. Disponible en: https://www.verizon.com/business/resources/reports/dbir/

11. RFC 5321 — Simple Mail Transfer Protocol (SMTP). IETF. Disponible en: https://www.rfc-editor.org/rfc/rfc5321

12. RFC 7489 — DMARC: Domain-based Message Authentication, Reporting, and Conformance. IETF. Disponible en: https://www.rfc-editor.org/rfc/rfc7489

13. Templeton, Brad — Origin of the term “spam” to mean net abuse. Disponible en: https://www.templetons.com/brad/spamterm.html

14. Kanich, Chris et al. — Spamalytics: An Empirical Analysis of Spam Marketing Conversion. ACM CCS, 2008. Estudio fundamental sobre la economía del spam.

15. Levchenko, Kirill et al. — Click Trajectories: End-to-End Analysis of the Spam Value Chain. IEEE Symposium on Security & Privacy, 2011. Análisis completo de la cadena de valor del spam, desde el envío hasta la monetización.

16. Código Penal español — Ley Orgánica 10/1995, artículos 248-251 (estafa), 264 (daños informáticos), 197 (descubrimiento de secretos). Disponible en: https://www.boe.es/buscar/act.php?id=BOE-A-1995-25444

17. ENISA — Threat Landscape Report 2025. European Union Agency for Cybersecurity. Disponible en: https://www.enisa.europa.eu/

Conclusión

El spam, lejos de ser una simple molestia, constituye una de las amenazas más persistentes y versátiles del ecosistema digital. Como vector principal de distribución de phishing, malware y fraudes de toda índole, cada email de spam que supera los filtros representa un riesgo potencial de pérdida económica, brecha de datos, o compromiso de sistemas.

Desde la perspectiva del peritaje informático forense, el análisis de campañas de spam requiere un conocimiento profundo de los protocolos de email (SMTP, SPF, DKIM, DMARC), de las técnicas de envío masivo (botnets, open relays, bulletproof hosting), y del marco legal aplicable (LSSI, RGPD, Código Penal). El perito que domina estas disciplinas puede aportar evidencia técnica concluyente sobre el origen, la infraestructura y el impacto de una campaña de spam, evidencia que resulta determinante tanto en procedimientos administrativos (ante la AEPD) como judiciales (civiles y penales).

La evolución tecnológica —IA generativa, deepfakes de voz, spam por nuevos canales como RCS y plataformas de mensajería— garantiza que el spam seguirá adaptándose y que el análisis forense de estas comunicaciones no deseadas continuará siendo una competencia esencial del perito informático durante los próximos años.

Última actualización: 30 de marzo de 2026 Categoría: Ciberataques Código: CIB-045