Un cliente te llama porque le has pedido un pago urgente que tú no has pedido. O ves en «Enviados» correos que no reconoces. O Microsoft te avisa de un inicio de sesión desde otro país. Si te está pasando ahora, esta guía va en el orden en que hay que actuar: primero cortar el acceso, después evitar el fraude y por último entender qué ha pasado.
Señales de que alguien ha entrado en tu correo
- Contactos que reciben correos tuyos que no enviaste, a menudo con un enlace o una factura.
- Respuestas a mensajes que nunca escribiste, o conversaciones que desaparecen de la bandeja.
- Avisos de inicio de sesión desde ubicaciones o dispositivos que no son tuyos.
- Reglas nuevas que mueven, borran o reenvían correos sin que las hayas creado.
- Cambios en el teléfono o el correo de recuperación de la cuenta.
En la primera hora: corta el acceso
- Cambia la contraseña desde otro dispositivo. Si el ordenador habitual tiene un programa espía, la nueva contraseña también se la llevan. Usa una contraseña larga y que no uses en ningún otro sitio.
- Cierra todas las sesiones abiertas. Cambiar la contraseña no siempre echa al atacante si ya tiene una sesión iniciada. En Google está en «Seguridad → Tus dispositivos → Cerrar sesión»; en Microsoft 365, el administrador puede revocar las sesiones del usuario desde el centro de administración.
- Activa el doble factor y revisa que el teléfono y el correo de recuperación sean los tuyos. Un atacante con experiencia añade los suyos para volver a entrar.
- Revisa las reglas y los reenvíos. Es el truco más habitual: una regla que reenvía tus correos a una dirección externa, o que mueve a una carpeta oculta las respuestas de quien sospecha. Haz una captura antes de borrarlas.
- Revisa las aplicaciones conectadas. Algunas campañas no roban la contraseña, sino que te piden «dar permiso» a una aplicación que lee el correo. Retira el acceso a cualquiera que no reconozcas.
Importante
No borres los correos enviados por el atacante ni las reglas que creó sin guardar antes una captura. Son la prueba de lo que ha pasado, y la vas a necesitar para el banco, para una denuncia o para decidir si hay que notificar una brecha de datos.
En las horas siguientes: evita el fraude
Un correo robado casi nunca se usa para leer por curiosidad. Se usa para pedir dinero en tu nombre, con tu dirección real y con el contexto de tus conversaciones.
- Avisa a clientes y proveedores con los que hayas hablado en las últimas semanas: que no atiendan ninguna petición de pago ni de cambio de cuenta recibida por correo sin confirmarla contigo por teléfono.
- Si alguien ya ha pagado, llamad al banco de inmediato para pedir que intente retener o devolver la transferencia. Las primeras horas son las que más opciones dan. Después, denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica.
- Cambia la contraseña de cualquier otro servicio donde usaras la misma, empezando por la banca, el programa de facturación y la nube.
Después: entiende qué ha pasado
Hay que saber por dónde entraron para que no vuelva a pasar: un correo de phishing, una contraseña filtrada en otra web o un equipo infectado. Revisa también qué datos había en el buzón. Si contenía datos personales de clientes o empleados, puede tratarse de una brecha de seguridad que haya que notificar a la AEPD en 72 horas.
Si no tienes claro qué hacer, el 017 de INCIBE es una línea gratuita y confidencial que atiende a empresas y particulares. Y si quieres que lo revisemos contigo, escríbenos: te decimos los primeros pasos y te ayudamos a documentar lo ocurrido.
Cómo evitar que vuelva a pasar
- Doble factor obligatorio en todas las cuentas de correo de la empresa, sin excepciones.
- Una contraseña distinta por servicio, guardada en un gestor de contraseñas.
- Alertas de inicio de sesión y de reglas de reenvío nuevas.
- Tu dominio protegido con SPF, DKIM y DMARC, para que nadie pueda escribir en tu nombre ni siquiera sin entrar en tu correo. Compruébalo gratis aquí.
- Formación del equipo para reconocer las páginas de inicio de sesión falsas.