Guía 2026 para endurecer SpamAssassin contra Phishing, Ransomware y BEC

Qué está pasando en 2026: por qué “pasa” el phishing aunque DKIM sea válido

El patrón más común ahora es el Business Email Compromise (BEC) y el “falso justificante”: el atacante usa una cuenta real comprometida (o un dominio que autentica bien) y se apoya en ingeniería social:

urgencia, facturas, transferencias, cambio de IBAN, y adjuntos con malware o enlaces.

Checklist express antes de tocar reglas

• Primero marcar, luego borrar. Ajusta Plesk a “Marcar como spam” y añade prefijo al asunto durante 7-14 días de observación.
• Activa logs. Revisa /var/log/maillog (o el log equivalente) para ver qué reglas disparan.
• Bayes + aprendizaje. Si puedes, entrena Bayes con carpetas spam/ham; es donde SA “se vuelve listo”.
• Defensa por capas. SA + RBL/DNSBL + antivirus (ClamAV/Dr.Web) + políticas de adjuntos.

Hardening básico en Plesk 18 (sin romper nada)

En Plesk, la configuración server-level se gestiona como admin, y SpamAssassin se apoya en ficheros del sistema. Para reglas personalizadas, el camino típico es /etc/mail/spamassassin/local.cf. Si quieres evitar sustos, puedes crear un fichero propio /etc/mail/spamassassin/laudemmedia_custom.cf y usar include.

Ruta recomendada de ficheros

# 1) Fichero principal (si ya lo usas)
nano /etc/mail/spamassassin/local.cf

# 2) (Opcional) Fichero dedicado para tu pack
nano /etc/mail/spamassassin/laudemmedia_custom.cf

# 3) Inclúyelo al final de local.cf
include /etc/mail/spamassassin/laudemmedia_custom.cf

Lint y reinicio

# Validar sintaxis
spamassassin --lint

# Reiniciar (según tu stack)
systemctl restart spamassassin || true
systemctl restart qmail dovecot postfix || true

Umbral recomendado (required_score)

Para hosting con muchos dominios, suele funcionar un required_score entre 6.0 y 8.0. Si metes reglas fuertes (adjuntos ejecutables, dobles extensiones), puedes bajar a 6.5.

# Ajustes típicos (en local.cf)
required_score 6.5
rewrite_header Subject [SPAM]
report_safe 0

Actualizaciones: sa-update y reglas de terceros (KAM)

Muchos sysadmins no viven solo con reglas caseras: usan sa-update para updates oficiales y añaden rulesets de confianza como KAM (muy usado en producción).

# Actualiza canal oficial
sa-update

# KAM (canal firmado) — sigue las instrucciones oficiales del canal
wget https://mcgrail.com/downloads/kam.sa-channels.mcgrail.com.key
sa-update --import kam.sa-channels.mcgrail.com.key
sa-update --gpgkey 24C063D8 --channel kam.sa-channels.mcgrail.com

# (Opcional) compilar reglas para rendimiento si tienes sa-compile disponible
# sa-compile

Plugins útiles: Phishing (OpenPhish/PhishTank) y HashBL/EBL

Desde SpamAssassin 3.4.2 existen plugins pensados para el “spam moderno”: Phishing (feeds tipo OpenPhish/PhishTank) y HashBL/EBL (listas hash para emails/URIs). En Plesk puede requerir paquetes/perl modules según distro. Si tu SA es 3.4.6, tienes base suficiente.

# Ejemplo conceptual: activar plugins en tu configuración (si están disponibles)
# (OJO: en algunas distros vienen desactivados por defecto)

loadplugin Mail::SpamAssassin::Plugin::Phishing
loadplugin Mail::SpamAssassin::Plugin::HashBL

# Phishing: feeds (revisa documentación y rutas según distro)
# phishing_feed_openphish /var/lib/spamassassin/openphish-feed.txt
# phishing_feed_phishtank /var/lib/spamassassin/phishtank-feed.txt

# HashBL/EBL: ejemplo (necesita list real)
# header HASHBL_EMAIL eval:check_hashbl_emails('ebl.example.invalid')
# tflags HASHBL_EMAIL net