¿Han comprometido tu correo? Señales de un buzón secuestrado

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Un correo hackeado rara vez llega con un aviso evidente. Lo normal es lo contrario: el atacante quiere que sigas usando tu buzón con normalidad mientras lo lee, lo copia y lo aprovecha por detrás. Reconocer las señales de un correo hackeado a tiempo es lo que separa un susto de una estafa consumada. Esta guía forma parte de nuestra serie sobre cómo hackean a las pymes: infostealers, phishing y BEC, y te da una lista concreta para autodiagnosticar tu buzón y actuar en las primeras horas.

Señales de un correo hackeado que no debes ignorar

Un buzón secuestrado deja rastros discretos pero reconocibles. Revisa cada uno de estos puntos:

Comportamientos extraños en tu propia cuenta

• Correos en la carpeta de enviados que tú no escribiste, o que desaparecen justo después de mandarse.
• Mensajes importantes que llegan ya marcados como leídos o que se esfuman de la bandeja de entrada.
• Contactos que te responden a conversaciones que nunca iniciaste, o que reciben spam en tu nombre.
• La contraseña deja de funcionar de repente, señal de que alguien pudo haberla cambiado.

Configuraciones que no reconoces

• Reglas de reenvío automático hacia direcciones externas: es el mecanismo favorito para espiar tu correo sin volver a entrar.
• Reglas que mueven o borran mensajes de forma automática, para ocultar respuestas de bancos o proveedores.
• Firmas, respuestas automáticas o alias modificados sin tu intervención.
• Aplicaciones o permisos delegados que no recuerdas haber autorizado.

Rastros en el historial de acceso

• Inicios de sesión desde países, ciudades o direcciones IP desconocidas.
• Accesos desde sistemas operativos o navegadores que no usas.
• Alertas de «nuevo inicio de sesión» que no corresponden a ninguna acción tuya.

Estas técnicas de persistencia y ocultación mediante reglas de bandeja están catalogadas por MITRE ATT&CK, que documenta cómo los atacantes mantienen el acceso sin volver a autenticarse.

Comprueba si tus credenciales ya circulan

Muchos buzones se comprometen porque la contraseña se filtró antes en otra brecha o la robó un programa espía. Da dos pasos rápidos:

• Consulta en Have I Been Pwned si tu dirección aparece en filtraciones conocidas. Si sale, esa contraseña debe considerarse quemada.
• Descarta que un ladrón de credenciales esté detrás: nuestra guía sobre qué es un infostealer y cómo roba las contraseñas de tu empresa explica cómo el malware vacía las claves guardadas en el navegador, y el análisis de RedLine Stealer muestra un caso real que vacía los navegadores de empleados enteros.

Qué hacer en las primeras horas

Si varias señales encajan, trata el incidente como real y actúa en orden:

• Cambia la contraseña desde un equipo que sepas limpio, no desde el dispositivo que pudiera estar infectado.
• Activa el doble factor si aún no lo tenías: expulsa al intruso aunque conozca la clave.
• Cierra todas las sesiones activas desde las opciones de seguridad de tu proveedor.
• Elimina las reglas de reenvío y borrado que no reconozcas y revoca las aplicaciones conectadas sospechosas.
• Avisa a tus contactos, clientes y banco de que tu correo pudo estar comprometido, sobre todo si gestionas cobros.
• Conserva las cabeceras y no borres los mensajes fraudulentos: son la prueba para reconstruir lo ocurrido.

Si el buzón está ligado a tu facturación, revisa también si el ataque derivó en fraude de pagos: lo explicamos en el análisis del secuestro de correo empresarial (BEC), la evolución habitual de un correo hackeado hacia el desvío de cobros.

Para reforzar tus reflejos y reconocer los señuelos que abren estos incidentes, el INCIBE publica avisos de campañas reales que conviene tener a mano.

Cuándo pedir ayuda profesional

Si el buzón forma parte de un entorno crítico, si maneja datos de clientes o de tarjeta, o si sospechas que el compromiso saltó de un dispositivo a toda la organización, no lo resuelvas a ciegas. Atendemos incidentes exigentes en banca y comercios con datos de tarjeta, donde la contención debe ser inmediata y trazable. Puedes escribirnos desde contacto y valoramos el alcance real del compromiso.