Cuando su servidor envía spam: cómo encontrar el origen y salir de las listas negras en cPanel

Cuando un servidor cPanel empieza a enviar spam, casi siempre se debe a una de dos causas: una cuenta de correo cuya contraseña fue robada o un script malicioso (a menudo en un sitio web hackeado) que envía correo a través de PHP. Cualquiera de las dos puede hacer que la dirección IP de su servidor aparezca en listas de bloqueo públicas, y entonces las facturas, cotizaciones y respuestas legítimas empiezan a rebotar o a caer en la carpeta de spam. La solución es detener primero el envío, localizar el origen exacto en los registros de correo de Exim, limpiar la cuenta o el sitio y, solo después, solicitar la salida de las listas de bloqueo. Esta guía explica cada paso y los ajustes de WHM que reducen la probabilidad de que vuelva a ocurrir.

Cómo un servidor empresarial termina enviando spam

Cuentas de correo comprometidas

Los atacantes obtienen contraseñas de correo mediante phishing, reutilización de contraseñas filtradas en otras brechas o adivinando contraseñas débiles. Con una contraseña válida pueden iniciar sesión en el servicio SMTP de su servidor y enviar grandes volúmenes de correo que parece venir de un usuario legítimo. Como se autentican, esos mensajes pasan por su servidor como correo normal.

Scripts maliciosos o vulnerables

La segunda causa común es el código de un sitio web. Un plugin desactualizado, un formulario de contacto abusado o una puerta trasera subida al servidor pueden enviar correo directamente con PHP. Estos mensajes no usan el inicio de sesión de ningún buzón, por eso pueden ser más difíciles de detectar.

Por qué afecta a todos en el servidor

Los servidores que reciben correo juzgan la reputación sobre todo por la dirección IP de envío. En un servidor cPanel, muchas cuentas suelen compartir una misma IP de salida, así que un solo buzón hackeado puede perjudicar la entrega de correo de todas las empresas alojadas allí. Tener bien configurados SPF, DKIM y DMARC no evita esto, porque el spam realmente sale de su servidor.

Señales de alerta

• Sus clientes dicen que sus correos no llegan, o usted recibe rebotes de mensajes que nunca envió.
• La cola de correo en WHM es inusualmente grande o está llena de mensajes a destinatarios desconocidos.
• La IP o el dominio de su servidor aparece al consultar una lista de bloqueo como Spamhaus.
• WHM envía una notificación de que una cuenta alcanzó un límite de envío o fue marcada como posible emisora de spam.
• La carga del servidor sube sin un aumento equivalente del tráfico web.

Paso 1: detenga el envío masivo

La rapidez importa, porque cada hora de spam empeora la inclusión en las listas.

1. Identifique la cuenta probable (el paso 2 explica cómo) y, como medida rápida de contención, restrinja o suspenda el correo saliente de esa cuenta de cPanel o de ese buzón (tanto cPanel como WHM lo permiten), o cambie la contraseña del buzón.
2. Revise la cola de correo. El Mail Queue Manager de WHM permite buscar en la cola por remitente o destinatario y eliminar mensajes. La documentación de cPanel advierte que "eliminar todo" borra la cola completa, así que filtre por el remitente problemático en lugar de borrar también el correo legítimo.
3. No reinicie y espere lo mejor. Reiniciar los servicios no elimina la causa; el spam volverá.

Paso 2: encuentre el origen en los registros de Exim

Los servidores cPanel usan Exim como servidor de correo, y su registro principal es /var/log/exim_mainlog. El artículo de soporte de cPanel sobre cómo encontrar el origen del spam describe la lógica básica:

• Buzón autenticado: los mensajes enviados por un usuario que inició sesión muestran una entrada de autenticación como A=dovecot_login:[email protected] en la línea donde llega el mensaje (marcada con <=). Si una dirección acumula muchísimos inicios de sesión de este tipo, sobre todo desde IP o países desconocidos, ese buzón está comprometido.
• Correo enviado por un script: si un mensaje no tiene autenticación de buzón, probablemente lo envió un script. Exim registra el directorio de trabajo actual (cwd=) del proceso que entregó el mensaje. Un número alto de mensajes que salen de una carpeta dentro del directorio de un usuario, como la de un plugin o la de archivos subidos, señala al script responsable.

Lugares útiles para revisar en WHM:

• Mail Delivery Reports (llamado Track Delivery en cPanel) muestra las entregas y fallos recientes por remitente y destinatario.
• Mail Queue Manager muestra lo que está en espera y quién lo envió.
• Los encabezados X-Source de cPanel (la opción "Track email origin via X-Source email headers", activada de forma predeterminada) añaden el origen de cada mensaje a sus encabezados, lo que ayuda si tiene una copia de un mensaje de spam.

Si los registros no muestran suficiente detalle, el artículo de cPanel explica cómo aumentar temporalmente el nivel de registro de Exim y volver a revisar unas horas después.

Paso 3: elimine la causa real

Si un buzón fue comprometido

1. Cambie la contraseña por una larga y única y cierre la sesión en todos los dispositivos que la usan.
2. Revise el buzón en busca de reenvíos, filtros o respuestas automáticas nuevos que el atacante pudo haber añadido.
3. Averigüe cómo se filtró la contraseña. Si el usuario cayó en una página de phishing, otras contraseñas también podrían estar expuestas.
4. Active la autenticación multifactor (MFA) para el webmail y los clientes de correo cuando su plataforma lo permita.

Si un script enviaba el correo

1. Localice los archivos en el directorio indicado en los registros y elimine el código malicioso. Ejecute un análisis completo de malware de la cuenta (por ejemplo, con Imunify360 o ImunifyAV si su servidor lo tiene).
2. Actualice o elimine el plugin, tema o formulario vulnerable que fue abusado.
3. Cambie las contraseñas de cPanel, FTP y base de datos de esa cuenta, y las contraseñas de administrador del sitio web.
4. Busque puertas traseras en el resto de la cuenta. Los atacantes suelen dejar más de un archivo, y un script eliminado que reaparece indica que algo sigue recreándolo.

Paso 4: solicite la salida de las listas de bloqueo

Pida la eliminación solo después de que el spam se haya detenido; de lo contrario, volverán a incluirlo rápidamente.

1. Consulte la IP de salida de su servidor y su dominio en check.spamhaus.org, el verificador de reputación de Spamhaus. El resultado indica en qué lista está y por qué.
2. Siga las instrucciones de eliminación de cada registro. Salir de las listas de Spamhaus es gratis; no pague a terceros para que lo "saquen".
3. Revise otras listas de bloqueo que usan los grandes proveedores de correo y vigile los rebotes durante los días siguientes. Algunas inclusiones caducan solas cuando el spam se detiene.

Paso 5: evite que vuelva a ocurrir

WHM incluye varios ajustes en Tweak Settings > Mail que limitan el daño de una cuenta comprometida. La documentación de cPanel enumera, entre otros:

Ajuste	Qué hace	Valor predeterminado
Max hourly emails per domain	Limita cuántos correos puede enviar cada dominio por hora	Ilimitado
Maximum percentage of failed or deferred messages a domain may send per hour	Bloquea el correo saliente cuando fallan demasiados mensajes	Ilimitado
Monitor the number of unique recipients per hour to detect potential spammers	Señala a los usuarios que de pronto escriben a muchos destinatarios distintos	Activado (500 destinatarios)
Acción ante un posible emisor de spam	No hacer nada, retener el correo saliente o rechazarlo	No hacer nada
Prevent "nobody" from sending mail	Impide que el usuario genérico del servidor web envíe correo a direcciones externas	Activado

Recomendaciones prácticas:

• Fije límites por hora realistas por dominio (y por paquete) que se ajusten a su envío normal. Los boletines masivos deben enviarse desde un servicio de email marketing dedicado, no desde su servidor web.
• Elija una acción para los posibles emisores de spam. "Hold outgoing mail" (retener el correo saliente) detiene el daño mientras usted investiga.
• Mantenga activadas las SMTP Restrictions (WHM > Security Center > SMTP Restrictions), para que solo el servidor de correo, Mailman y root puedan conectarse directamente a servidores de correo externos y los scripts no puedan saltarse Exim.
• Proteja el acceso a los buzones. Contraseñas largas y únicas, protección contra fuerza bruta (cPHulk o Imunify360) y capacitación del personal contra el phishing hacen más que cualquier filtro.
• Mantenga los sitios web actualizados y analizados, ya que los sitios hackeados son la otra gran fuente de spam saliente.

Permítanos revisar su servidor de correo

Si sus correos han empezado a rebotar, o no sabe cómo respondería su servidor cPanel ante un buzón hackeado, Core Florida IT puede investigar, limpiar y configurar límites razonables. Atendemos a empresas en Miami-Dade y todo el sur de Florida, con soporte remoto en todo el país. Solicite una evaluación de TI gratuita para comenzar.

Fuentes

• cPanel Support: How to find the source of spam emails
• Documentación de cPanel & WHM: Tweak Settings, Mail
• Documentación de cPanel & WHM: SMTP Restrictions
• Documentación de cPanel & WHM: Mail Queue Manager
• Spamhaus: IP and Domain Reputation Checker