Un cliente te llama: «me ha llegado un correo tuyo raro, con un enlace». O peor: un proveedor te dice que ya ha pagado la factura a la cuenta nueva que le mandaste. Y tú no has mandado nada.
Alguien ha entrado en tu buzón. No es un virus en el ordenador ni un hacker de película: casi siempre es una contraseña que alguien consiguió con un correo falso y un formulario que imitaba a Microsoft. Esto es lo que hay que hacer, en orden.
Qué ha pasado, probablemente
El patrón se repite en casi todos los casos que vemos:
- Alguien de la empresa recibe un correo creíble (una factura, un documento compartido, un aviso de contraseña) y pone su usuario y contraseña en una página falsa.
- Con esa contraseña, el atacante entra en el buzón desde cualquier sitio del mundo. Si no hay doble factor, ya está dentro.
- Lee. A veces durante semanas. Busca facturas, clientes, proveedores, quién paga a quién.
- Crea reglas en el buzón para que ciertos correos se borren o se muevan sin que tú los veas, y así no notas las respuestas.
- Actúa: envía correos con enlaces a tus contactos para pescar más cuentas, o se mete en una conversación real de facturación y cambia el número de cuenta.
Lo llaman «compromiso del correo empresarial» y es, con diferencia, el fraude que más dinero cuesta a las pymes.
Hoy mismo: cerrar la puerta
En este orden, y todo, no solo el primero:
- Cambiar la contraseña de la cuenta afectada. Y si esa persona usa la misma en otros sitios, también.
- Cerrar todas las sesiones. En Microsoft 365, revocar las sesiones y los tokens de acceso de la cuenta; cambiar la contraseña sola no expulsa a quien ya está dentro.
- Revisar las reglas del buzón. En Outlook, las reglas de bandeja de entrada y el reenvío automático. Borrar cualquier regla que no reconozcas: son la huella más clara del intruso.
- Revisar los métodos de doble factor. Los atacantes a veces añaden su propio teléfono o aplicación. Quitar lo que no sea tuyo.
- Revisar las aplicaciones autorizadas. En la cuenta pueden quedar aplicaciones de terceros con permiso para leer el correo. Fuera las desconocidas.
- Mirar el registro de inicios de sesión. Desde dónde, cuándo, con qué dispositivo. Ahí se ve desde cuándo estaban dentro y si han tocado otras cuentas.
- Revisar los elementos enviados y eliminados. Para saber a quién han escrito y con qué.
A quién avisar
- A tus contactos. Un correo corto, honesto, desde otra cuenta si hace falta: «hemos tenido un acceso no autorizado; si has recibido un correo nuestro con un enlace o un cambio de datos bancarios, no lo atiendas y llámanos». Cuanto antes, menos daño.
- Al banco y a la policía, si ha habido un cambio de cuenta en una factura y alguien ha pagado. Cada hora cuenta para intentar retener la transferencia. Denunciar es necesario para el seguro y para el banco.
- A la AEPD, si el buzón contenía datos personales (y un buzón de empresa casi siempre los contiene) y hay riesgo para esas personas. El plazo son 72 horas desde que lo sabes. Documenta lo que ha pasado en cualquier caso.
Cómo dejarlo para que no vuelva a pasar
La contraseña no era el problema; el problema era que con la contraseña bastaba. Lo que hacemos después de un incidente así, casi siempre sobre Microsoft 365:
- Doble factor obligatorio para todos, sin excepciones y sin «el jefe no quiere».
- Acceso condicional. Que solo se pueda entrar desde equipos conocidos y países con sentido. Un inicio de sesión desde otro continente a las tres de la mañana se bloquea solo.
- Bloquear los protocolos antiguos que no admiten doble factor y que los atacantes usan para colarse por detrás.
- Protección del correo contra suplantaciones, enlaces y adjuntos maliciosos, de modo que el correo de pesca no llegue o llegue marcado.
- Alertas cuando se cree una regla de reenvío o cambie un método de acceso.
- Equipos gestionados, para saber qué ordenadores existen, que estén cifrados y actualizados.
- Cinco minutos de formación: cómo reconocer el correo de pesca, y la regla de que un cambio de cuenta bancaria se confirma siempre por teléfono, al número de siempre.
Casi todo esto está incluido en las licencias de empresa de Microsoft. Lo que suele faltar no es el producto, es que alguien lo configure.
Si te está pasando ahora
Escríbenos y dilo en la primera línea. Contenemos primero y miramos después. Y si quieres que no vuelva a pasar, dejamos el Microsoft 365 como debería haber estado desde el principio.