--- id: CP-564 slug: correo-grupal-copia-oculta-cco lang: es title: Enviar un correo a varias personas con Cco description: "Escribir a varios destinatarios externos sin exponer sus direcciones: el reflejo Cco, las trampas habituales y qué hacer después de un error." canonical_url: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ markdown_url: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Enviar un correo a varias personas con Cco», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-041 schema: G5 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ fr: https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ en: https://startbrain.io/cyberpedia/en/articles/bulk-email-bcc-hidden-recipients/ de: https://startbrain.io/cyberpedia/de/articles/sammelmail-bcc-verdeckte-empfaenger/ it: https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/ sources: - "n": 1 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: Que faire en cas de phishing ou hameçonnage ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 5 title: Notifier une violation de données personnelles publisher: CNIL url: https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles published: "2018-05-24" accessed: "2026-11-03" - "n": 6 title: CHAPITRE IV - Responsable du traitement et sous-traitant publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 accessed: "2026-11-03" --- # Enviar un correo a varias personas con Cco Antes de enviar un correo a treinta clientes, socios o participantes de una formación, la norma de conducta es comprobar en qué campo se ha colocado a cada destinatario. Una vez enviado el mensaje, las direcciones ya han llegado a los destinatarios. Esta ficha describe el gesto que hay que hacer antes del envío: colocar a los destinatarios externos en el campo Cco (copia oculta). También describe las trampas habituales, lo que las direcciones expuestas permiten a un estafador y los pasos que seguir tras un error. Las fuentes citadas aquí no describen cómo funcionan los campos Para, Cc y Cco: por eso esta ficha indica la conducta que seguir, sin entrar en la mecánica del programa de correo. ## En 30 segundos - Dónde ocurre: al enviar un mensaje a varias personas ajenas a la empresa (clientes, candidatos, participantes, socios). - Lo que busca el atacante: usar la información disponible sobre usted para que sus mensajes de phishing resulten más convincentes [3]. - El reflejo: poner a los destinatarios externos en Cco y revisar los campos Para, Cc y Cco antes de pulsar Enviar. - Si ya ha ocurrido: avisar sin demora a la persona responsable de la protección de datos (DPO) o, en su defecto, al departamento de informática, que evaluará si hay que notificarlo a la CNIL [1][5]. ## Preguntas directas ### ¿Por qué supone un problema una lista de direcciones visible? El RGPD define la violación de datos como una violación de la seguridad que provoca, de forma accidental o ilícita, entre otras cosas, la «divulgation non autorisée de données à caractère personnel» (divulgación no autorizada de datos personales) [1]. La CNIL precisa que se trata de cualquier incidente de seguridad, malintencionado o no, intencionado o no [1]. Un envío en el que todos los destinatarios aparecen a la vista de los demás puede, por tanto, entrar en esta definición, incluso sin ningún ataque. La CNIL cita un caso cercano: un tercero informa al responsable del tratamiento de que ha recibido un correo con información sobre otra persona, y aporta la prueba. El responsable debe entonces considerarse informado de la violación [1]. ### ¿Para qué sirven las direcciones recopiladas? Las fuentes citadas aquí describen el uso que hacen los atacantes de información de este tipo. El NCSC británico escribe que los delincuentes utilizan información disponible en línea para que sus mensajes de phishing resulten más convincentes [3]. MITRE describe el «phishing for information»: mensajes enviados para obtener información que después sirve para atacar a una víctima [2]. Según MITRE, el grupo Kimsuky utilizó correos de phishing dirigidos para recopilar información sobre sus víctimas, entre ella listas de contactos, con el fin de identificar otros objetivos [2]. El phishing consiste en hacerse pasar por un tercero de confianza para obtener datos personales o bancarios [4]. ### ¿Quién es responsable del error? Las obligaciones del RGPD recaen sobre el responsable del tratamiento, es decir, la organización, sea pública o privada y cualquiera que sea su tamaño [1]. Para un empleado, lo que importa es otra cosa: en cuanto detecta el error, lo comunica internamente, porque es la organización quien decide qué se hace a continuación. ## Cómo funciona El texto del RGPD exige que el responsable del tratamiento notifique una violación a la autoridad de control sin dilación indebida y, si es posible, a más tardar 72 horas después de haber tenido conocimiento de ella, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas [6]. La CNIL añade que este plazo empieza cuando el responsable tiene un grado razonable de certeza de que se ha producido un incidente y de que ha afectado a datos personales [1]. El nivel de riesgo determina las obligaciones [1]. Sin riesgo, la organización documenta el incidente internamente en un registro. Con riesgo, lo documenta y lo notifica a la CNIL. Con riesgo elevado, lo documenta, lo notifica a la CNIL e informa además a las personas afectadas. El riesgo se valora caso por caso, según la naturaleza y la sensibilidad de los datos, la facilidad para identificar a las personas y sus posibles consecuencias [1]. Una dirección sola y una dirección que revela la pertenencia a un grupo sensible no se juzgan igual, pero esa valoración corresponde a la organización, no a quien envía el mensaje. ## Qué hace usted Antes de enviar un mensaje a varias personas externas: - Coloque a los destinatarios externos en el campo Cco, y no en Para ni en Cc. - Revise los tres campos antes de enviar: no debe quedar ninguna dirección externa en Para ni en Cc. - Si el mensaje se repite con frecuencia (boletín informativo, convocatoria), pida al equipo de informática una herramienta de envío pensada para ese uso, en lugar de repetir la operación a mano. Después de un error: - Avise de inmediato al DPO o al departamento de informática, indicando el asunto del mensaje, la hora de envío y el número de destinatarios. - No intente resolver la cuestión por su cuenta escribiendo a los destinatarios: la organización debe evaluar primero el riesgo. - Conserve el mensaje enviado. En caso de phishing, Cybermalveillance.gouv.fr recomienda conservar las pruebas [4]. El mismo reflejo sirve aquí de base para documentar el incidente. Por parte de la organización, la CNIL pide documentar el incidente: naturaleza de la violación, categorías y número aproximado de personas afectadas, consecuencias probables, medidas adoptadas o previstas [5]. Si hay dudas sobre la necesidad de informar a las personas, la CNIL aconseja notificarle el incidente, y ella indicará si hay que informarlas [5]. La notificación se hace mediante un servicio en línea destinado a las organizaciones [5]. Si falta información en el plazo de 72 horas, a una notificación inicial puede seguir una notificación complementaria [5]. ## Las trampas - Olvidar el Cco: poner a un solo destinatario en Para, escribir a los demás en Cc por costumbre o pegar toda la lista en el campo equivocado. La revisión de los campos antes del envío es la defensa. - Reenviar o responder a todos: antes de reenviar un mensaje o de responder a todos, compruebe qué direcciones aparecen en los campos. - Creer que el incidente no tiene consecuencias: las direcciones ya están en manos de terceros, y el NCSC recuerda que los estafadores aprovechan la información disponible para que sus mensajes resulten más creíbles [3]. Los destinatarios pueden recibir después mensajes sospechosos: la organización puede aconsejarles que no respondan a los mensajes dudosos y que los comuniquen a Signal Spam [4]. Las fuentes citadas aquí no recogen ningún caso fechado de envío grupal con direcciones visibles: por eso esta ficha no presenta ninguno. ## Fuentes 1. CNIL, «Violations de données personnelles : les règles à suivre», 19 de junio de 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026) 3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de noviembre de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado el 3 de noviembre de 2026) 4. Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?», 10 de enero de 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultado el 3 de noviembre de 2026) 5. CNIL, «Notifier une violation de données personnelles», 24 de mayo de 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consultado el 3 de noviembre de 2026) 6. CNIL, «CHAPITRE IV - Responsable du traitement et sous-traitant». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.