Cambiar la contraseña del correo es una medida necesaria cuando alguien ha entrado en él, pero ¿demuestra que la cuenta vuelve a estar bajo tu control? Por sí sola, no. INCIBE recomienda revisar también reglas de reenvío, usuarios creados y registros de acceso, además de cambiar la contraseña y reforzar la autenticación. Una configuración introducida durante la intrusión necesita su propia comprobación.
Si el correo del negocio está afectado, implica al proveedor o al responsable técnico. El objetivo inmediato es detener el acceso ajeno y conservar las evidencias, sin confundir una medida ya ejecutada con la confirmación de que todo el incidente está resuelto.
Una regla puede sacar mensajes sin que tú pulses reenviar
INCIBE describe casos de correo corporativo comprometido en los que se crean reglas para reenviar mensajes a una cuenta desconocida o moverlos a una carpeta que la víctima no está revisando. El mensaje puede desaparecer de la bandeja habitual aunque siga formando parte del buzón.
Por eso conviene comprobar las reglas y los filtros configurados en la cuenta, no limitarse a mirar los últimos correos enviados. Si el negocio dispone de un servidor propio, la revisión puede necesitar también configuraciones de ese servidor.
No elimines de inmediato una regla sospechosa sin guardar la información necesaria para analizarla. INCIBE propone obtener evidencias antes de retirar reglas o filtros no deseados. El responsable técnico puede ayudarte a conservarlas y a detener su efecto sin perder el rastro de lo ocurrido.
Pide que se revisen accesos y usuarios, no solo la contraseña
La guía de INCIBE incluye examinar los usuarios de correo para localizar los creados recientemente que no estén controlados por la empresa, en especial si pertenecen al grupo administrador. También contempla revisar los registros de acceso para detectar entradas ajenas o no controladas.
Si el servicio está subcontratado, pide al proveedor que concrete qué ha comprobado y qué queda pendiente. «Contraseña cambiada» y «usuarios revisados» son actuaciones diferentes. Anota quién las realizó y conserva su respuesta, sin atribuirle verificaciones que todavía no ha hecho.
| Elemento | Qué se busca | Qué conservar |
|---|---|---|
| Reglas y filtros | Reenvíos o movimientos no autorizados | Configuración observada y actuación para detenerla |
| Usuarios y administradores | Altas o permisos que el negocio no reconoce | Identificación y resultado de la revisión técnica |
| Registros de acceso | Entradas que necesitan explicación | Fechas, datos disponibles y análisis del proveedor |
| Contraseña y autenticación | Protección de las credenciales de acceso | Medidas realmente aplicadas, sin guardar la contraseña en el informe |
No existe una conclusión universal basada en un único botón. Los controles disponibles dependen del servicio y de cómo se produjo la intrusión. Si no tienes conocimientos técnicos, pide asistencia para ejecutar la revisión en lugar de probar cambios sin entender su alcance.
Separa el problema técnico de las operaciones que pudieron alterarse
Mientras el proveedor revisa la cuenta, el negocio puede identificar las operaciones que dependían de ella: presupuestos, facturas, cambios de datos de cobro o instrucciones a colaboradores. No hace falta esperar al informe final para localizar esos mensajes y conservar sus originales.
Eso no significa dar por fraudulentas todas las facturas. Significa señalar cuáles necesitan verificación por un canal fiable y qué pagos o comunicaciones podrían verse afectados. El contenido de un mensaje conservado y el resultado de una investigación son pruebas distintas.
Si ya se hizo una transferencia por indicaciones fraudulentas, INCIBE recomienda contactar cuanto antes con la entidad financiera para comunicarlo e intentar revertirla. Ese contacto no garantiza la recuperación del dinero.
Para la parte de gestión, comunica a Alexis qué facturas o pagos del negocio pueden estar afectados y qué justificantes conservas. Taxea puede ordenar su seguimiento contable; el análisis del acceso a la cuenta corresponde al proveedor o al especialista técnico.
Una contraseña nueva no explica por qué faltan facturas
Supuesto ilustrativo: un pequeño comercio recupera el acceso a su correo después de una intrusión. Cambia la contraseña, pero descubre que algunos mensajes de un proveedor no aparecen donde los esperaba. No tiene todavía una explicación técnica.
En lugar de concluir que el proveedor no envió las facturas, conserva los mensajes disponibles y pide revisar reglas, carpetas y registros de la cuenta. El técnico detecta en este ejemplo una regla que movía esos correos y la retira tras documentarla.
El comercio relaciona después las facturas recuperadas con pedidos y pagos. El resultado es un expediente que distingue el cambio de contraseña, la configuración corregida y las operaciones conciliadas. No presenta ese hallazgo como prueba de que ninguna otra información haya salido de la cuenta.
El cierre necesita una respuesta sobre lo comprobado
Pide una explicación comprensible de las comprobaciones hechas, las limitaciones encontradas y las medidas posteriores. INCIBE aconseja utilizar una contraseña robusta y recomienda aplicar doble factor de autenticación como protección adicional.
Si puede haber datos personales afectados, esa situación requiere su propia valoración de protección de datos. No se resuelve únicamente cuadrando el saldo de una factura. Tampoco corresponde a este artículo decidir si una brecha concreta debe notificarse.
La guía de facturación del negocio ayuda a identificar los documentos de las operaciones que debes conservar. Para este incidente, prepara con Alexis una relación de facturas, pagos y comunicaciones cuya comprobación siga pendiente. Mantén la recuperación técnica y la conciliación del negocio conectadas, con responsables y resultados identificados.
Fuentes oficiales
INCIBE: fraude del correo corporativo comprometido, recuperación y prevención. El caso del comercio es ilustrativo.
