Punto SynoPower Club:<\/strong> Pas\u00e9 a\u00f1os en el soporte t\u00e9cnico de Synology, y la preocupaci\u00f3n m\u00e1s com\u00fan que escuchaba sobre el autoalojamiento era que una mala noche pudiera dejar el sitio inoperativo. En este caso, no fue as\u00ed. El NAS sigui\u00f3 sirviendo p\u00e1ginas, la tienda sigui\u00f3 recibiendo pedidos, y el \u00fanico s\u00edntoma fueron unas diez l\u00edneas sueltas en los formularios. La clave fue tener todo centralizado: los formularios, el registro de correo y las direcciones IP de los visitantes estaban en el mismo servidor de Synology, por lo que rastrear el ataque de correo masivo se resolvi\u00f3 en una sola sesi\u00f3n en lugar de abrir tres incidencias con tres empresas de alojamiento diferentes.<\/p>\n<\/blockquote>\n\n\n\n El bombardeo de correo electr\u00f3nico no requiere intrusi\u00f3n. El atacante toma la direcci\u00f3n de correo electr\u00f3nico de la v\u00edctima y la introduce en tantos formularios p\u00fablicos como sea posible: suscripciones a boletines informativos, registros de cuentas y formularios de contacto que env\u00edan una copia del mensaje al remitente. Cada sitio web env\u00eda entonces un correo electr\u00f3nico real y correctamente firmado a la v\u00edctima. Ninguno de estos mensajes es spam en el sentido t\u00e9cnico, por lo que eluden los filtros y se acumulan en la bandeja de entrada.<\/p>\n\n\n\n El objetivo rara vez es el bombardeo de correos electr\u00f3nicos en s\u00ed. Microsoft Threat Intelligence ha documentado grupos que utilizan el bombardeo de correos electr\u00f3nicos como primer paso, para luego llamar a la v\u00edctima haci\u00e9ndose pasar por el servicio de asistencia t\u00e9cnica que supuestamente solucionar\u00e1 el problema del spam. Otros atacantes utilizan este bombardeo para ocultar una alerta bancaria, una confirmaci\u00f3n de compra o un aviso de cambio de contrase\u00f1a mientras hacen un uso indebido de una cuenta robada.<\/p>\n\n\n\n Los formularios de contacto resultan atractivos porque muchos de ellos responden autom\u00e1ticamente a la direcci\u00f3n de correo electr\u00f3nico introducida en el campo correspondiente. Para el atacante, esto supone un servicio de retransmisi\u00f3n de correo gratuito y an\u00f3nimo con un remitente de confianza. Para el propietario del sitio web, significa que su dominio env\u00eda correos a personas que no los han solicitado, y algunas de ellas pulsar\u00e1n el bot\u00f3n de spam.<\/p>\n\n\n\n El patr\u00f3n result\u00f3 evidente al comparar las solicitudes. Entre la tarde del 24 de septiembre y la ma\u00f1ana siguiente, nuestro formulario de soporte recibi\u00f3 diez solicitudes, con intervalos de una a dos horas. Este ritmo lento es intencional: se mantiene por debajo de la mayor\u00eda de los l\u00edmites de velocidad y se asemeja al tr\u00e1fico habitual.<\/p>\n\n\n\n Ninguna de estas personas hab\u00eda visitado jam\u00e1s SynoPower Club. Nuestro correo electr\u00f3nico de confirmaci\u00f3n, con un asunto como SynoPower #1234: Consulta de producto, se envi\u00f3 a cada una de ellas. Si recibi\u00f3 uno de esos mensajes y nunca se puso en contacto con nosotros, fue v\u00edctima de un bombardeo de correo electr\u00f3nico: su direcci\u00f3n fue introducida por otra persona. No se cre\u00f3 ninguna cuenta para usted y no se le cobr\u00f3 nada. Nuestra gu\u00eda sobre C\u00f3mo saber si un correo electr\u00f3nico realmente proviene de SynoPower Club<\/a> Enumera todas las direcciones desde las que enviamos.<\/p>\n\n\n\n Nuestro formulario ya contaba con dos medidas de protecci\u00f3n contra el spam activadas, pero el bombardeo de correos electr\u00f3nicos las eludi\u00f3 sin problemas: Cloudflare Turnstile y un campo honeypot oculto. Ambos cumplieron su funci\u00f3n, pero ninguno estaba dise\u00f1ado para esto.<\/p>\n\n\n\n Un honeypot detecta scripts que rellenan todos los campos de la p\u00e1gina, incluido uno oculto para los usuarios. Estos env\u00edos proven\u00edan de un navegador real que solo rellenaba los campos visibles, por lo que la trampa permaneci\u00f3 vac\u00eda. Turnstile comprueba si el visitante se comporta como un usuario real. Cada una de las diez entradas conten\u00eda un token de Turnstile v\u00e1lido, lo que indica que el remitente utilizaba un navegador aut\u00e9ntico a un ritmo humano, y no un script malicioso.<\/p>\n\n\n\n Ese es el l\u00edmite real de las comprobaciones de bots contra el bombardeo de correo electr\u00f3nico. Si bien encarecen el abuso automatizado masivo, un remitente paciente que env\u00eda un formulario por hora a trav\u00e9s de un navegador normal se comporta exactamente como un cliente. Para detenerlo, se necesita una se\u00f1al sobre el origen de la solicitud, no solo sobre su comportamiento.<\/p>\n\n\n\n Dado que todo el sistema se ejecuta en un \u00fanico sistema Synology, la investigaci\u00f3n nunca sali\u00f3 del NAS. Estas son las cuatro comprobaciones que realizamos, en orden, y funcionan para cualquier sitio de WordPress alojado en Container Manager o Web Station.<\/p>\n\n\n Abre la lista de entradas de tu plugin de formulario y ord\u00e9nala por fecha. Busca nombres o mensajes aleatorios, temas repetidos y un intervalo constante entre env\u00edos; luego, anota la direcci\u00f3n IP que se guarda con cada entrada.<\/p>\n<\/div>\n<\/div>\n Abre el registro de correo de tu plugin SMTP o el registro de entrega en Synology MailPlus Server y busca los n\u00fameros de entrada. Esto te indicar\u00e1 si tu sitio web envi\u00f3 una confirmaci\u00f3n a cada direcci\u00f3n y si esta se entreg\u00f3 correctamente.<\/p>\n<\/div>\n<\/div>\n Descarga la lista masiva de salidas del Proyecto Tor y busca cada IP en las entradas. En nuestro caso, las diez direcciones eran nodos de salida de Tor, mientras que ninguna de las 199 entradas aut\u00e9nticas desde 2024 proven\u00eda de una direcci\u00f3n en esa lista.<\/p>\n<\/div>\n<\/div>\n Aseg\u00farate de que las direcciones IP en tus registros pertenezcan a visitantes y no a Cloudflare ni a tu proxy inverso. Si todas las entradas muestran las mismas direcciones, restaura la IP original del visitante antes de sacar conclusiones.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n La soluci\u00f3n al bombardeo de correos electr\u00f3nicos deb\u00eda cumplir dos condiciones: detener por completo a este remitente y no generar inconvenientes adicionales para los clientes que utilizan el formulario semanalmente para consultar sobre licencias. Nos decidimos por un cambio espec\u00edfico.<\/p>\n\n\n\n Ahora se rechazan los formularios enviados a trav\u00e9s de la red Tor en todos los formularios del sitio. Cloudflare identifica el tr\u00e1fico de Tor con el c\u00f3digo de pa\u00eds especial T1, y tambi\u00e9n verificamos la IP del visitante con la lista de salida del Proyecto Tor, que se actualiza diariamente, por lo que la regla se mantiene incluso si una solicitud llega al NAS sin pasar por Cloudflare. Quienes reciban un mensaje de rechazo ver\u00e1n una breve notificaci\u00f3n con nuestra direcci\u00f3n de soporte, para que los clientes que prefieran Tor puedan contactarnos por correo electr\u00f3nico.<\/p>\n\n\n\n Las p\u00e1ginas de navegaci\u00f3n, pago y cuenta permanecen intactas. El cambio solo se aplica en el momento en que se env\u00eda un formulario, que es precisamente donde se produjo el abuso.<\/p>\n\n\n\n La mejor defensa contra el bombardeo de correos electr\u00f3nicos a trav\u00e9s de un formulario es dejar de enviar correos a la direcci\u00f3n que se introduce en \u00e9l. Si el formulario solo te notifica, un atacante no gana nada introduciendo la direcci\u00f3n de un desconocido. Analizamos seriamente esta opci\u00f3n.<\/p>\n\n\n\n Decidimos mantener la confirmaci\u00f3n. Muchos de nuestros clientes nos escriben porque la clave de licencia no se activ\u00f3 o el correo electr\u00f3nico de su pedido fue a parar a la carpeta de spam, y una respuesta inmediata que confirme la recepci\u00f3n del mensaje, con un n\u00famero de ticket, les tranquiliza mucho. Eliminarla perjudicar\u00eda a todos nuestros clientes reales solo para incomodar a un remitente.<\/p>\n\n\n\n La disyuntiva es clara. Bloquear Tor cierra la ruta que us\u00f3 este remitente, pero un atacante decidido podr\u00eda cambiar a proxies comunes. Si se reciben correos basura de direcciones que no son de Tor, el siguiente paso es hacer que la confirmaci\u00f3n sea opcional o desactivarla, y esa decisi\u00f3n debe estar en su lista de verificaci\u00f3n antes de que ocurra, no durante el pr\u00f3ximo incidente.<\/p>\n\n\n\n El paso 4 de la investigaci\u00f3n merece una secci\u00f3n aparte, ya que es la trampa m\u00e1s com\u00fan cuando un sitio autoalojado sufre ataques de correo electr\u00f3nico masivo u otros abusos. Una solicitud a SynoPower Club pasa por Cloudflare, luego por el proxy inverso en Synology DSM, antes de llegar a WordPress en su contenedor. Sin configuraci\u00f3n adicional, WordPress ve la direcci\u00f3n del \u00faltimo salto, por lo que cada entrada de formulario, comentario y pedido se registra con una IP de Cloudflare o del proxy.<\/p>\n\n\n\n Cloudflare transmite la direcci\u00f3n original en el encabezado CF-Connecting-IP, y se puede configurar Apache para que conf\u00ede en ese encabezado solo cuando la solicitud provenga de Cloudflare o de su propio proxy. Hab\u00edamos solucionado esto solo unos d\u00edas antes para la detecci\u00f3n de fraude en los pedidos, y dio resultados inmediatos: los formularios mostraban las direcciones de salida de Tor reales, lo que permiti\u00f3 detectar el patr\u00f3n en cuesti\u00f3n de minutos.<\/p>\n\n\n\n Si alojas tus archivos en un NAS Synology detr\u00e1s de Cloudflare, verifica esto antes de necesitarlo. Env\u00eda una entrada de prueba desde tu tel\u00e9fono usando datos m\u00f3viles y confirma que la IP almacenada coincide con la que reporta tu tel\u00e9fono.<\/p>\n\n\n\n Una tienda que vende licencias de Synology deber\u00eda poder funcionar con Synology, y la nuestra lo hace, en su totalidad. Virtual Machine Manager<\/a> aloja la instancia Virtual DSM que contiene el sitio, Container Manager ejecuta WordPress y su base de datos, y Synology MailPlus<\/a> Env\u00eda todas las confirmaciones de pedido, entregas de licencias y respuestas a formularios.<\/p>\n\n\n\nQu\u00e9 es el bombardeo de correos electr\u00f3nicos y por qu\u00e9 los formularios de contacto son un objetivo<\/h2>\n\n\n\n
C\u00f3mo se manifest\u00f3 el bombardeo de correos electr\u00f3nicos en nuestra tienda alojada en Synology.<\/h2>\n\n\n\n
\n
![\"Env\u00edo](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Por qu\u00e9 ni los torniquetes ni las trampas de miel lo impidieron.<\/h2>\n\n\n\n
C\u00f3mo rastrear un ataque de correo electr\u00f3nico masivo en un NAS Synology en 4 pasos<\/h2>\n\n\n\n
Lea las entradas del formulario<\/h3>\n
Comprueba qui\u00e9n recibi\u00f3 el correo<\/h3>\n
Compara las direcciones IP con la lista de Tor.<\/h3>\n
Confirma que las direcciones IP son visitantes reales.<\/h3>\n
![\"Registro](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Los cambios que implementamos tras la investigaci\u00f3n<\/h2>\n\n\n\n
\u00bfDeber\u00edas mantener la respuesta autom\u00e1tica despu\u00e9s de un bombardeo de correos electr\u00f3nicos?<\/h2>\n\n\n\n
C\u00f3mo obtener la IP real del visitante detr\u00e1s de Cloudflare y el proxy inverso Synology<\/h2>\n\n\n\n
Por qu\u00e9 ejecutamos SynoPower Club en Synology<\/h2>\n\n\n\n
![\"Contenedores](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")