Han hackeado el correo o una cuenta de la empresa: ¿qué hacer en los primeros 30 minutos?

Primero frena el daño: desde otro dispositivo limpio cambia la contraseña, cierra todas las sesiones y elimina las reglas de reenvío y los dispositivos de acceso que no reconozcas. Justo después avisa a contabilidad y a los clientes clave de que las peticiones de pago a cuentas bancarias nuevas no se atienden sin llamar a un número conocido.

No borres nada: los correos, los registros de acceso y las reglas hacen falta para entender qué pasó y para acudir al banco o a la policía. Abajo tienes un plan minuto a minuto, a quién llamar y qué no hacer. Guarda esta página de antemano, porque en pleno incidente no habrá tiempo para buscarla.

En resumen

• Los primeros 5 minutos: contraseña nueva desde un dispositivo limpio y cierre de todas las sesiones. Cambiar solo la contraseña no basta si los atacantes ya se dejaron una puerta trasera.
• Revisa las reglas de reenvío, los dispositivos nuevos del segundo factor, el acceso de otras personas al buzón y las aplicaciones conectadas. Ahí suele esconderse la puerta trasera.
• Contabilidad no paga a cuentas bancarias nuevas hasta confirmarlas llamando a un número conocido. Si el dinero ya salió, llama al banco de inmediato.
• No borres correos ni huellas: haz capturas de pantalla y apunta qué viste y cuándo.
• Avisa a la policía cibernética o al CERT-UA. Comprueba sus contactos actuales en sus webs oficiales.

Minuto a minuto

0-5 minutos: frenar el daño

Cambia la contraseña desde un dispositivo limpio

Si el ordenador en el que trabajaba la persona está infectado, la contraseña nueva llegará directamente a los atacantes. Usa otro ordenador o móvil que este empleado no haya usado. La contraseña nueva debe ser larga y no haberse usado nunca. Si la antigua se usaba en otro sitio (el banco, el CRM, el correo personal), cámbiala también allí.

Cierra todas las sesiones

Una sesión es un acceso guardado en un dispositivo, tras el cual ya no se pide la contraseña. Cambiar la contraseña no siempre expulsa a quien ya ha entrado. En Microsoft 365 un administrador puede forzar el cierre de las sesiones de un usuario, y Google permite cerrar sesión en todos los dispositivos desde los ajustes de seguridad de la cuenta. ^{[1] [2]} Si no te da tiempo a aclararlo, bloquea temporalmente el acceso a esa cuenta: es lo más seguro.

5-15 minutos: cerrar puertas traseras y avisar a contabilidad

Revisa qué cambiaron los atacantes

Una vez dentro de un buzón, los atacantes suelen dejarse formas de volver o de seguir leyendo el correo en silencio. Revisa:

• reglas de correo y reenvío: si se envían copias a una dirección externa, si los correos del banco o de clientes se mueven a la papelera o al archivo;
• métodos de acceso: si ha aparecido un teléfono, una aplicación o una llave nueva para el segundo factor;
• acceso de otras personas: quién más puede leer el buzón o enviar en su nombre;
• aplicaciones conectadas: programas de terceros a los que se dio acceso al correo;
• datos de recuperación: si cambiaron la dirección o el teléfono de recuperación.

Antes de desactivar una regla o un dispositivo desconocido, haz una captura de pantalla: es una prueba. Microsoft, Google y el NCSC británico describen estas comprobaciones en detalle. ^{[1] [2] [3]}

Avisa a contabilidad

Lo más caro de un correo comprometido no suelen ser los correos, sino los pagos. Desde tu buzón los atacantes pueden enviar a un cliente «la nueva cuenta bancaria» o al contable «una factura urgente del director». Díselo claro a contabilidad: ningún pago a cuentas nuevas o cambiadas hasta confirmarlas llamando al número del contrato.

Si un pago ya salió, llama a tu banco de inmediato. Cuanto antes lo sepa el banco, más posibilidades hay de detener la transferencia.

15-30 minutos: pruebas, personas, avisos

Guarda pruebas, no borres nada

Las ganas de limpiar rápido correos y reglas desconocidas se entienden, pero así desaparece la imagen de lo ocurrido. Haz capturas de reglas, correos sospechosos y dispositivos nuevos. Exporta el registro de accesos si la consola de administración lo permite. Apunta en un documento sencillo qué notaste, cuándo, qué se ha hecho y quién. El banco, la policía y tu proveedor de informática necesitarán estas notas.

Avisa a clientes y socios

Si desde tu buzón pudieron salir correos, informa brevemente a las personas con las que te has escrito últimamente. Por ejemplo: «Alguien ajeno a la empresa usó nuestro correo. No hagáis pagos a cuentas bancarias que aparezcan en nuestros correos sin llamarnos». Escribe desde otro buzón de confianza o llama por teléfono.

A quién llamar

• Proveedor de informática o administrador: para revisar otras cuentas y dispositivos.
• Banco: si hubo pagos o cambios de cuenta bancaria.
• Policía cibernética: para denunciar el delito, sobre todo si hubo pérdida económica. En Ucrania, los contactos y formas de denunciar están en la web oficial cyberpolice.gov.ua. ^[4]
• CERT-UA: el equipo gubernamental de respuesta a ciberincidentes de Ucrania, que recibe avisos de incidentes. Web cert.gov.ua. ^[5]
• Proveedor del servicio: Microsoft, Google o tu alojamiento, si no consigues recuperar el control de la cuenta.

Los teléfonos y formularios cambian, así que compruébalos en las webs oficiales y añádelos de antemano a tu lista de contactos para incidentes. Si la empresa opera en otro país, acude al equipo nacional de respuesta (CERT) y a la policía de ese país.

Qué no hacer

• No borres correos, reglas ni la propia cuenta, por muchas ganas que tengas de eliminar las huellas.
• No cambies la contraseña desde el mismo dispositivo si sospechas que está infectado.
• No hables del incidente a través del buzón hackeado. Los atacantes pueden estar leyéndolo.
• No pagues ni negocies con quien exige dinero sin hablar antes con la policía y un abogado.
• No ocultes el incidente a contabilidad ni al equipo. Cuanto antes lo sepan, menos probable es que abran el siguiente correo o aprueben un pago.
• No des el asunto por cerrado al cambiar la contraseña. Sin revisar reglas y dispositivos, los atacantes pueden volver.

Después de los primeros 30 minutos

En los días siguientes averigua cómo consiguieron exactamente la contraseña: un correo de phishing, una contraseña repetida en otro servicio o un dispositivo infectado. Revisa las demás cuentas de la empresa y activa el segundo factor de acceso donde todavía falte. Los pasos básicos que conviene dar de antemano están en seguridad en una empresa de 30 personas sin CISO. ^[6]

Para comprobar de forma independiente que no queda otra entrada y que las cuentas y el correo están bien configurados está el Security Assessment. Si los atacantes pudieron llegar a tu web, al área de clientes o a la API, esos sistemas también hay que revisarlos, y ahí ayuda un pentest. ¿No sabes por dónde empezar? Escríbeme a través del formulario.

Checklist ante un hackeo

• La contraseña se cambió desde un dispositivo limpio, es nueva y no se repite en ningún sitio.
• Todas las sesiones están cerradas o el acceso está bloqueado temporalmente.
• Se revisaron reglas de reenvío, métodos de acceso, acceso de otras personas, aplicaciones y datos de recuperación.
• Contabilidad sabe: ningún pago a cuentas nuevas sin llamar a un número conocido.
• Si el dinero salió, el banco está avisado.
• Las capturas y el registro de accesos están guardados, no se ha borrado nada.
• Clientes y socios están avisados desde otro buzón o por teléfono.
• El incidente se comunicó a la policía cibernética o al CERT-UA.
• Hay una persona designada que coordina los siguientes pasos.

Descargar la lista de preparación (PDF)PDF · A4

FAQ

¿Basta con cambiar la contraseña?

No. Los atacantes pueden haber dejado una sesión abierta, una regla de reenvío o su propio dispositivo para el segundo factor. Sin revisar eso, una contraseña nueva no detiene a quien ya está dentro.

¿Cómo sé que el correo de verdad está hackeado?

Señales típicas: clientes recibieron correos que no enviaste; hay correos desconocidos en Enviados o en la papelera; aparecieron reglas de reenvío que no conoces; llegó un aviso de acceso desde un lugar o dispositivo desconocido.

¿Hay que acudir a la policía cibernética si no se perdió dinero?

Es recomendable. La denuncia deja constancia del incidente por si el daño aparece más tarde, y el banco o los socios pueden pedir prueba de que lo comunicaste.

¿Hay que avisar a los clientes?

Sí, si desde tu buzón pudieron salir correos o en el buzón había datos de clientes. Basta un aviso breve y honesto. Si pudieron filtrarse datos personales, consulta con un abogado las notificaciones obligatorias.

¿Hace falta un pentest después de un correo comprometido?

No siempre. Primero importa revisar cuentas, correo y accesos. Un pentest tiene sentido si los atacantes pudieron llegar a tu web, al área de clientes o a otros sistemas propios.

Referencias

1. Microsoft: Respond to a compromised email account in Microsoft 365 learn.microsoft.com
2. Google: Secure a hacked or compromised Google Account support.google.com
3. NCSC: Recovering a hacked account ncsc.gov.uk
4. Cyber Police Department of the National Police of Ukraine: contacts cyberpolice.gov.ua
5. CERT-UA: Computer Emergency Response Team of Ukraine cert.gov.ua
6. NCSC: Incident management ncsc.gov.uk