El investigador de seguridad Timo Longin, del laboratorio SEC Consult, reveló dos fallos de suplantación de identidad (spoofing) en la infraestructura de correo de Apple. Estas vulnerabilidades permitirían que cualquier usuario con una cuenta gratuita de iCloud enviara mensajes que parecieran provenir de cualquier dirección @icloud.com, logrando evadir los controles de seguridad fundamentales como SPF, DKIM y DMARC.

El investigador de seguridad Timo Longin, que trabaja con el SEC Consult Vulnerability Lab, reveló dos fallos de spoofing de correo electrónico en la infraestructura de correo de iCloud de Apple que podrían haber permitido que alguien con una cuenta gratuita de iCloud enviara mensajes que parecieran provenir de cualquier dirección @icloud.com.

Los mensajes manipulados podrían superar las comprobaciones SPF, DKIM y DMARC, los controles principales que utilizan los servicios de correo para verificar la identidad del remitente. Apple ya ha solucionado ambos problemas tras un prolongado proceso de divulgación responsable.

La investigación demuestra que la autenticación del correo electrónico es tan fiable como los sistemas que preparan y procesan el correo antes de que este salga de la red del proveedor.

En este caso, el problema no era una cuenta de iCloud robada ni una debilidad en la bandeja de entrada del destinatario. Surgió porque diferentes partes de la canalización de procesamiento SMTP saliente de Apple leían los mismos datos del mensaje de formas distintas.

El SMTP, o Protocolo Simple de Transferencia de Correo, sigue siendo la base del correo electrónico en Internet. Utiliza tanto un remitente de sobre, conocido como MAIL FROM o Return-Path, como un encabezado From: visible que tú ves en tu cliente de correo.

Normalmente, iCloud comprueba que una cuenta autenticada solo utilice una de sus direcciones de remitente permitidas. Si una cuenta intentaba establecer directamente el remitente visible como otra identidad de iCloud, el servicio de Apple devolvía un error indicando que la dirección no estaba asociada al usuario.

Spoofing de direcciones de correo de iCloud

Longin encontró formas de hacer que los analizadores internos de iCloud interpretaran un mensaje de manera diferente. Un fallo implicaba caracteres inusuales de retorno de carro en el encabezado From:.

El primer analizador de Apple no trató el campo manipulado como un encabezado de remitente normal durante la etapa de validación del usuario. Un analizador posterior limpió el mensaje antes de la entrega, convirtiéndolo en un encabezado de remitente con apariencia válida para el servidor de correo receptor.

Según el informe técnico publicado por SEC Consult, el resultado fue grave: un usuario autenticado con una dirección de iCloud podía hacer que un correo entregado pareciera provenir de otra dirección, incluyendo identidades de alto valor como tim.cook@icloud.com o no-reply@icloud.com.

SEC Consult demostró que los mensajes llegaban a los sistemas receptores con resultados de autenticación de iCloud válidos. El segundo problema utilizaba reglas de "dot-stuffing" de SMTP, una parte antigua del protocolo que gestiona las líneas que comienzan con puntos. El primer analizador de iCloud y el siguiente no aplicaban estas reglas de la misma manera.

Esta brecha de análisis permitió nuevamente que un encabezado From: malicioso sobreviviera a las comprobaciones de iCloud y apareciera de forma diferente después de que el mensaje fuera retransmitido.

La parte más preocupante era que los mensajes suplantados podían superar SPF, DKIM y DMARC. El SPF confirmaba que la infraestructura de correo legítima de Apple había enviado el correo.

El DKIM se superaba porque iCloud aplicaba su firma criptográfica después de la etapa afectada del procesamiento del mensaje. El DMARC, entonces, se superaba porque el dominio del remitente visible seguía siendo icloud.com, alineado con el mensaje firmado de Apple.

Esto es importante porque los usuarios y las pasarelas de correo a menudo tratan estos tres resultados de "aprobado" como una prueba sólida de que un correo electrónico es seguro.

Como ya se ha explicado en la guía sobre cómo detectar el spoofing de correo con DMARC, la alineación de DMARC normalmente conecta el dominio del remitente visible con la validación SPF o DKIM. Este caso de iCloud mostró cómo un fallo de análisis en el lado del proveedor de confianza podía socavar esa protección.

SEC Consult informó primero del problema del retorno de carro a Apple el 21 de mayo de 2024. Apple cambió la forma en que manejaba la prueba de concepto original, pero los investigadores encontraron más tarde un segundo bypass.

Las correcciones finales se confirmaron en diciembre de 2025 y el informe técnico se publicó el 1 de octubre de 2026. Apple concedió a Longin una recompensa de seguridad de 15.000 dólares por sus hallazgos.

El caso sigue a investigaciones anteriores sobre SMTP smuggling, donde el manejo inconsistente del protocolo permitía el envío de correos suplantados a través de diversos servicios. También refleja un problema más amplio rastreado por CERT/CC: el análisis ambiguo del encabezado From: puede permitir que usuarios de SMTP autenticados suplanten otras identidades y eviten las comprobaciones de remitente esperadas.

Para quienes defienden la red, la lección principal es clara. SPF, DKIM y DMARC siguen siendo esenciales, pero no son una razón para confiar en cada correo electrónico sin cuestionarlo.

Tú y tu equipo de seguridad deberíais revisar los encabezados completos de los mensajes, estar atentos a las diferencias entre la dirección From: visible y el Return-Path, y tratar con cautela las solicitudes inesperadas de credenciales, pagos o acciones urgentes.

Fuentes:
https://cybersecuritynews.com/icloud-email-address-spoofing/