La temporada de impuestos puede estar a meses de distancia, pero los delincuentes que suplantan a firmas contables no siguen un calendario estacional. Un nuevo estudio de registros DNS públicos muestra que la mayoría de las pequeñas firmas fiscales sigue siendo un blanco abierto para la suplantación de correo electrónico, y la brecha entre lo que las firmas han configurado y lo que realmente las protege es enorme.
La plataforma de gestión de inversiones y gastos Hub Software examinó la configuración de correo electrónico públicamente visible de 3.609 firmas fiscales de EE. UU. con dos a ocho preparadores, extrayendo su muestra de la lista pública de PTIN del IRS con una firma por dominio web. Los hallazgos fueron publicados por Accounting Today el 15 de octubre de 2026.
La brecha de aplicación en números
La primera capa de protección es casi universal. El estudio encontró que el 97% de las firmas configura su correo para verificar si el servidor remitente está autorizado a enviar correo desde su dominio mediante un registro SPF publicado. La adopción de SPF, en otras palabras, está esencialmente resuelta.
El DMARC es donde todo se derrumba. Un 65% de las firmas publica una política de Domain-based Message Authentication, Reporting and Conformance, que indica a los proveedores receptores qué hacer cuando las verificaciones antifalsificación fallan. Pero el 45% de las firmas que tienen esa política la configura en “none”, un modo de monitoreo que no bloquea nada incluso cuando la autenticación falla. Solo el 34% de las firmas indica a sus proveedores de correo que aparten o rechacen el correo que falsifica su nombre.
Sumando todo, solo el 29% de las firmas encuestadas estaba plenamente protegido con SPF, DMARC aplicado y firma DKIM. Dicho de otro modo, menos de una de cada tres pequeñas firmas fiscales impide activamente que delincuentes envíen correo que parece provenir de la firma.
Las firmas pequeñas y los usuarios de Google Workspace se quedan atrás
El riesgo escala con el tamaño, aunque no en la dirección que uno esperaría. Entre las firmas con dos a tres preparadores, solo el 32% bloquea activamente el correo falso enviado desde su dominio, frente al 42% de las que tienen cuatro a cinco preparadores y al 45% de las que tienen seis a ocho. Las firmas más pequeñas representaron la mayor parte de la muestra, un 77%, lo que significa que la mayoría desprotegida es la norma del sector y no la excepción.
La diferencia por plataforma es aún más llamativa. Entre las firmas que usan Google Workspace, solo el 12% bloquea activamente la suplantación de correo. Entre los usuarios de Microsoft la cifra es del 37%, y las firmas con un filtro de seguridad previo alcanzan el 41%. La brecha sugiere que los valores predeterminados y el diseño de las consolas moldean los resultados de seguridad más que la intención.
La geografía también varía mucho. Misisipi fue el estado menos protegido, con solo el 15% de las firmas mostrando SPF, DMARC aplicado y firma DKIM, mientras que Iowa encabezó el país con un 58%.
Por qué esto importa más a las firmas fiscales que a la mayoría de las empresas
La dirección de correo de una firma fiscal es una llave hacia la confianza de sus clientes, como señala el propio informe. Si un delincuente puede enviar correo que parece provenir de la firma, los clientes abrirán el adjunto, harán clic en el enlace o enviarán los documentos. Las firmas fiscales intercambian por correo formularios W-2, datos bancarios y declaraciones completas, así que una suplantación exitosa del dominio puede entregar al atacante exactamente los datos necesarios para el fraude de reembolsos y el robo de identidad.
La solución es un camino conocido
La remediación que describe el informe es la ruta estándar de DMARC, y una firma pequeña puede completarla en semanas y no en meses. Active la firma DKIM en Microsoft 365 o Google Workspace y publique los registros que la plataforma genera. Publique DMARC en “none” con los informes activados y lea los informes agregados durante dos a cuatro semanas, porque mostrarán cada servicio que envía como la firma, incluidas las herramientas de nómina, las plataformas de firma electrónica y el portal de clientes del software fiscal. Cuando todos los remitentes legítimos estén cubiertos, mueva la política a “quarantine” y luego a “reject”. Ese último paso es el que detiene el correo falso.
La adopción de SPF es casi universal, pero un registro DMARC configurado en “none” deja la puerta abierta a cualquiera que quiera enviar como su dominio. Excello Mail convierte sus informes agregados de DMARC en una imagen clara de cada servicio que envía como usted, para que pueda pasar del monitoreo a la aplicación sin romper el correo legítimo. Regístrese gratis en Excello Mail y cierre la brecha antes de que otro la explote.