¿Hackearon tu cuenta de correo corporativo? Actúa ya, en el orden correcto

Primeiros passos — o que fazer agora

1. 1

   Cambia la contraseña desde un dispositivo confiable

   Usa una computadora o un celular que sepas que no está comprometido (sin malware ni infostealer) para crear una contraseña nueva, larga y exclusiva. Nunca reutilices la contraseña anterior ni variaciones de ella. Si usabas la misma contraseña en otros servicios, cámbiala también en esos lugares.

2. 2

   Fuerza MFA, preferentemente FIDO2

   Activa la autenticación multifactor en la cuenta y exige un MFA resistente a phishing (llave de seguridad FIDO2 o passkey). Evita depender solo de SMS, vulnerable al SIM swap. En entorno corporativo (Microsoft 365 / Google Workspace), fuerza el MFA por política para todos los usuarios, no solo para la cuenta afectada.

3. 3

   Cierra todas las sesiones activas

   Cierra la sesión en todos los dispositivos y revoca los tokens de sesión y las cookies. En M365 usa la opción de revocar sesiones / restablecer tokens de actualización; en Google Workspace usa 'Cerrar sesiones'. Esto expulsa al intruso aunque ya tenga la contraseña en su poder, forzando un nuevo inicio de sesión con el MFA ahora activo.

4. 4

   Elimina reglas de reenvío y filtros maliciosos

   Esta es la táctica clásica del BEC: el atacante crea un reenvío automático hacia una dirección externa y filtros que archivan o borran mensajes (por ejemplo, asuntos con 'factura', 'pago', 'boleto'). Revisa y elimina cualquier regla que no hayas creado, incluidos filtros, reglas de servidor y reenvíos a nivel del tenant.

5. 5

   Revoca apps OAuth y dispositivos conectados

   Verifica las aplicaciones de terceros con acceso a la cuenta (OAuth) y elimina las que no reconozcas o ya no uses: una app maliciosa mantiene el acceso incluso tras cambiar la contraseña. Revisa también los dispositivos vinculados y las contraseñas de aplicación antiguas, revocando lo que sea sospechoso.

6. 6

   Audita enviados, eliminados y la bandeja de salida

   Busca correos que el intruso haya enviado en tu nombre (cobros falsos, cambio de datos bancarios, pedidos a proveedores) y mensajes que haya borrado para ocultar el rastro. Esto define el alcance del daño, a quién hay que avisar con urgencia y qué datos personales quedaron expuestos.

7. 7

   Avisa a contactos, al área financiera y a proveedores

   Comunica a tu equipo, clientes y proveedores por un canal alternativo (teléfono, WhatsApp) que tu cuenta fue comprometida y que las solicitudes de pago o de cambio de datos bancarios enviadas por correo deben ignorarse y reconfirmarse por voz con un número ya conocido. En el BEC, el perjuicio viene de quien confía en el correo fraudulento.

8. 8

   Activa la Respuesta a Incidentes y verifica fugas

   Si hay indicios de fraude, transferencias o compromiso de varias cuentas, activa la Respuesta a Incidentes 24/7 de Decripte por /contato — SLA de contención de 1h. En paralelo, usa el plan gratuito de Gestión de Amenazas en https://decripte.com.br/intelligence-center para confirmar si tu credencial corporativa se filtró y está a la venta en la dark web.

Por qué cambiar la contraseña no basta: la anatomía de un account takeover

La mayoría de las personas reacciona a una intrusión cambiando la contraseña y deteniéndose ahí. El problema es que un atacante experimentado ya se preparó para sobrevivir a ese gesto. Al entrar en la cuenta, establece persistencia: crea reglas de reenvío ocultas, genera contraseñas de aplicación, autoriza una app OAuth maliciosa o simplemente mantiene una sesión activa con una cookie válida. Cualquiera de estos mecanismos sigue funcionando después de que cambias la contraseña, porque ya no dependen de ella.

Por eso el orden de las acciones importa. Cambiar la contraseña desde un dispositivo confiable, forzar MFA y —de forma crucial— cerrar todas las sesiones activas expulsa los accesos basados en sesión. Eliminar las reglas de reenvío y los filtros corta la exfiltración silenciosa. Revocar las apps OAuth elimina el acceso delegado. Solo cuando todos esos caminos están cerrados la cuenta vuelve de verdad a tus manos. Saltarse uno de ellos es dejar una puerta trasera abierta.

BEC: cuando la cuenta hackeada se convierte en arma de fraude financiero

El Business Email Compromise (BEC) es el desenlace más costoso de un account takeover corporativo. Con acceso a tu buzón, el delincuente estudia tu forma de escribir, con quién hablas y qué pagos están en curso. Entonces, en el momento justo, envía un mensaje perfectamente verosímil pidiéndole a un proveedor, cliente o a tu propia área financiera que cambie los datos bancarios de una factura o adelante un pago. Para ocultar la maniobra, usa filtros que borran las respuestas antes de que las veas.

Por eso, durante la contención, la auditoría de los correos enviados y eliminados es tan importante como el restablecimiento de la contraseña. Necesitas saber exactamente qué se envió en tu nombre y avisar a los destinatarios por un canal fuera del correo. La regla de oro para tu organización pasa a ser: ningún cambio de datos bancarios ni pago atípico solicitado por correo se ejecuta sin confirmación por voz con un número ya conocido. Esa única política frena la abrumadora mayoría de los golpes de BEC. Si ya se realizó un pago vía Pix por error, quien pagó debe contactar al banco de inmediato para activar el MED.

Contención, erradicación y recuperación en la práctica

La respuesta a un account takeover sigue la lógica del NIST. La detección y análisis consiste en entender cómo entró el intruso (credencial filtrada, phishing, infostealer) y hasta dónde llegó. La contención es el bloque de acciones inmediatas: contraseña nueva, MFA forzado, sesiones cerradas, reenvíos y OAuth eliminados. La erradicación elimina la persistencia que quedó —contraseñas de aplicación, reglas de servidor, dispositivos vinculados— y cierra el vector de entrada original, por ejemplo cambiando credenciales reutilizadas en otros sistemas.

La recuperación devuelve la operación a la normalidad con monitoreo reforzado: observas nuevos inicios de sesión, validas que ninguna regla reaparezca y confirmas que se avisó a los contactos. Las lecciones aprendidas se convierten en política: MFA FIDO2 obligatorio, bloqueo del reenvío automático externo en el tenant, alertas de reglas de buzón y revisión periódica de apps OAuth. Cuando el incidente involucra fraude, múltiples cuentas o riesgo de movimiento financiero, la Respuesta a Incidentes 24/7 de Decripte asume toda esa cadena con un SLA de contención de hasta una hora, preservando evidencias y coordinando la comunicación con el banco, la ANPD y los titulares.

Cómo llegó tu credencial al atacante — y cómo descubrirlo antes

Buena parte de los account takeovers no comienza con un hacker 'penetrando' nada: comienza con una contraseña que ya estaba a la venta. Los infostealers en máquinas infectadas y las fugas de otros servicios vuelcan enormes volúmenes de pares de correo y contraseña en foros y en la dark web. Si tu contraseña corporativa apareció en uno de esos volcados —o si la reutilizabas en otro sitio que sufrió una fuga—, el delincuente solo tuvo que probarla. Por eso, tras contener el incidente, es esencial saber si la credencial circula públicamente.

El plan gratuito de Gestión de Amenazas de Decripte, el Decripte Intelligence Center (DIC), monitorea exactamente eso: fuga de credenciales, exposición en la dark web y reputación de tu dominio, sin tarjeta de crédito y sin necesidad de equipo técnico. Registras tu dominio en https://decripte.com.br/intelligence-center y descubres qué correos de tu empresa ya aparecieron en fugas, transformando la respuesta a este incidente en prevención continua de los próximos. Es la forma más económica de cerrar la llave que alimenta los ataques de takeover.

Termos importantes

Account Takeover (ATO)

Toma de control de una cuenta legítima por un tercero no autorizado, generalmente usando credenciales válidas obtenidas en fugas, phishing o malware. En el contexto corporativo, suele ser el primer paso hacia el fraude por correo.

BEC (Business Email Compromise)

Estafa en la que el delincuente, con acceso a una cuenta corporativa o imitándola, induce a empleados, clientes o proveedores a realizar pagos o cambiar datos bancarios. Suele usar reglas de reenvío y filtros para ocultar el fraude.

MFA / FIDO2

La autenticación multifactor exige un segundo factor además de la contraseña. FIDO2 es el estándar de llaves de seguridad y passkeys resistentes a phishing, que no pueden interceptarse como un código por SMS, siendo la forma más segura de proteger la cuenta.

OAuth

Protocolo que permite a apps de terceros acceder a tu cuenta sin ver tu contraseña, mediante un token. Una app OAuth maliciosa autorizada por el intruso mantiene el acceso a la cuenta incluso después de cambiar la contraseña, por eso debe revocarse.

Regla de reenvío maliciosa

Configuración creada por el atacante para reenviar automáticamente copias de tus correos a una dirección externa, o filtros que borran mensajes. Es la táctica clásica de persistencia y exfiltración silenciosa en los ataques de BEC.

MED (Mecanismo Especial de Devolución)

Procedimiento del Pix que permite al banco bloquear e intentar devolver fondos en casos de fraude o falla operativa, mediante el contacto rápido de la víctima. La ventana de activación es corta, por eso el contacto con el banco debe ser inmediato.

Perguntas frequentes