Si tu conexión de Movistar (antigua Telefónica) deja de poder enviar correos de un día para otro, es muy probable que el Centro Némesys haya bloqueado el puerto 25 de tu línea. Esto ocurre de forma automática cuando detectan un volumen de correo saliente anormalmente alto desde tu IP, lo cual suele ser señal de que algún equipo de tu red está enviando spam sin que te hayas dado cuenta.
En la mayoría de los casos, el origen del problema es un equipo infectado por malware, un troyano o algún programa de origen dudoso (cracks, software pirata, etc.) que utiliza tu conexión para distribuir correo basura.
En una red doméstica con uno o dos equipos, identificar al culpable suele ser sencillo. Pero en una red empresarial con decenas de ordenadores, varias subredes o sedes conectadas por VPN, localizar el origen puede complicarse bastante.
El objetivo es identificar qué dirección IP interna está generando tráfico SMTP sospechoso, para poder aislar ese equipo y limpiarlo.
Analizar el tráfico de red con un sniffer
Algunos routers ofrecen estadísticas básicas de tráfico, pero si quieres un método que funcione en cualquier red, lo más fiable es usar un sniffer: una herramienta que captura y analiza los paquetes que circulan por la red.
La idea es escuchar el tráfico en un punto por el que pasen las comunicaciones de todos los equipos, filtrar únicamente los paquetes relacionados con el envío de correo y revisar de qué IP de origen proceden.
Material necesario
- Un ordenador dedicado al análisis (puede ser un portátil).
- Wireshark (Windows/Linux/Mac) o Tcpdump (Linux).
- Acceso a un punto de la red donde pueda observarse el tráfico de los equipos sospechosos.
- Permisos de administración sobre la red.
Nota: Si tu red usa switches gestionables, puedes activar la función de port mirroring (SPAN) para reflejar el tráfico de un puerto hacia el equipo donde tienes Wireshark. En redes pequeñas sin switch gestionable, también puedes conectar tu equipo de análisis entre el router y el resto de la red mediante un hub, aunque hoy en día son difíciles de encontrar.
Capturar tráfico SMTP con Wireshark
Abre Wireshark y ve a Capture Options. Selecciona la interfaz de red por la que quieres escuchar.
Para no saturarte de paquetes irrelevantes, usa un filtro de captura que se centre en los puertos habituales de correo SMTP:
port 25 or port 465 or port 587Esto cubre el puerto 25 (SMTP tradicional), el 587 (envío con autenticación/STARTTLS, el más usado por clientes de correo actuales) y el 465 (SMTPS).
Pulsa Start y espera. Cada vez que un equipo de la red envíe un correo, verás aparecer una captura con la IP de origen y la IP de destino.
Revisa el contenido de los paquetes: si encuentras un volumen elevado de conexiones SMTP hacia servidores externos, o referencias a productos farmacéuticos, webs sospechosas u otro contenido típico de spam, anota la dirección IP de origen de esos paquetes.
Identificar el equipo infectado
Con la IP interna ya identificada, consulta el servidor DHCP, el router o la documentación de tu red para saber qué equipo tiene asignada esa dirección.
Una vez localizado el equipo, lo recomendable es:
- Desconectarlo de la red.
- Ejecutar un análisis antivirus completo.
- Revisar procesos y servicios en ejecución en busca de algo sospechoso.
- Actualizar el sistema operativo y las aplicaciones.
- Si la infección es grave, restaurar o reinstalar el sistema.
Pedir a Movistar que reabra el puerto 25
Una vez limpio el equipo, ponte en contacto con el Centro Némesys de Movistar para que levanten el bloqueo. Puedes escribir a nemesys@movistar.es indicando tu IP pública y explicando que ya has solucionado el problema, o llamar al soporte técnico de Movistar si eres cliente.
Consejos para evitar futuras infecciones
- Restringe el acceso administrativo a los equipos de la organización.
- Mantén actualizado el sistema operativo y el antivirus.
- Evita instalar software de fuentes no confiables, cracks o keygens.
- Asegúrate de que tu red Wi-Fi está protegida con una contraseña fuerte.
- Supervisa periódicamente el tráfico de red, especialmente en entornos empresariales.