Creo que hackearon nuestro correo. Qué hacer primero, en orden, y qué nunca tocar
Una regla de reenvío que no hiciste, contactos que reciben spam tuyo, un proveedor que dice que cambiaron tus datos bancarios, una factura pagada a otra cuenta: cada uno es motivo para actuar en la próxima hora, y en el orden correcto. Esta página da el orden, tomado de Microsoft, Google, el FBI y CISA; las cosas que destruyen evidencia o te dejan sin acceso; el paso del dinero; a quién puede haber que avisar; y qué hace Appluex, con precios publicados. Es orientación general y no asesoría legal.
Primero corta el acceso del atacante. Conserva la evidencia. No muevas dinero por un correo
Microsoft enumera las señales de un buzón de Microsoft 365 comprometido: correo que falta o está borrado; reglas de bandeja que reenvían a direcciones desconocidas o mueven mensajes a las carpetas Notas, Correo no deseado o Suscripciones RSS; mensajes raros en Elementos enviados o Elementos eliminados, como "estoy varado en Londres, envía dinero"; cambios en la ficha de la persona en la libreta de direcciones de la empresa; cambios de contraseña frecuentes o bloqueos; una dirección de reenvío externa recién agregada; una firma extraña; o un buzón bloqueado para enviar. Suma las dos que traen a la mayoría de los dueños a esta página: un proveedor o cliente dice que cambiaron tus instrucciones de pago, o el dinero fue a una cuenta que no es la de siempre.
La primera regla es el orden. Un atacante con acceso a un buzón suele dejar maneras de volver: una regla de reenvío, un segundo método de inicio de sesión, una aplicación que te pidieron aprobar, una sesión guardada. Cambiar solo la contraseña no cierra todas. Microsoft dice claramente que las contraseñas de aplicación no se revocan al restablecer la contraseña, y Google dice que suspender una cuenta también restablece sus cookies de sesión y sus tokens OAuth, por eso un restablecimiento solo no basta. CISA añade que un restablecimiento de contraseña es solo temporal si el atacante todavía puede robar tokens.
La segunda regla es la evidencia. Anota y fotografía lo que ves antes de cambiarlo: la regla, la dirección de reenvío, la lista de inicios de sesión con sus lugares y horas, el mensaje raro. No borres primero la regla ni el correo. Lo que hizo el atacante, y cuándo, decide a quién hay que avisar, qué te pedirán tu aseguradora y tu banco, y si un pago fraudulento puede recuperarse. Los pasos de Microsoft indican al administrador revisar los registros de auditoría desde el inicio de la actividad sospechosa, así que esos registros no deben alterarse.
La tercera regla es sobre el dinero. Nunca pagues, cambies un dato bancario ni envíes una tarjeta de regalo por lo que diga un correo, aunque parezca de alguien que conoces, e incluso si la cuenta resulta ser la que hackearon. El Centro de Quejas de Delitos en Internet del FBI (IC3) aconseja usar un segundo canal para verificar cualquier solicitud de cambio de datos de cuenta. Una llamada a un número que ya tenías, no al que aparece en el correo, es ese segundo canal.
Si tienes un proveedor de TI o un administrador de tu cuenta de Microsoft 365 o Google Workspace, los pasos de abajo son de ellos, y el orden sigue importando. Si nadie administra tu cuenta, puedes hacer los primeros pasos seguros de esta página tú mismo y luego llamar. Donde un paso necesita un administrador, lo dice.
Primero registra, luego elimina. Corta el acceso en el orden correcto. Y no muevas dinero por un correo.
Cómo evitar el próximo (un segundo paso de inicio de sesión, impedir que otros envíen como tú, una regla de devolver la llamada ante cambios bancarios) se explica en la página de seguridad del correo
Qué hacer primero, en orden, y qué nunca hacer
Haz esto en este orden. Los pasos que necesitan un administrador están marcados. Si no sabes si puedes hacer un paso, detente y llama: un paso fuera de orden puede dejarte sin acceso o borrar lo que necesitas.
Registra lo que ves y luego deja de tocarlo
Fotografía la regla de reenvío, la lista rara de inicios de sesión, el mensaje extraño, el correo del proveedor con datos bancarios nuevos. Anota la fecha y la hora en que lo notaste. No borres todavía ninguna regla ni mensaje, y no respondas al atacante ni al correo sospechoso. Una respuesta le dice que lo estás vigilando.
Cambia la contraseña desde un equipo de confianza
Usa una computadora o un teléfono que sepas limpio, en una red de confianza, y elige una contraseña nueva que nadie haya visto. No la envíes a nadie por correo ni por texto: Microsoft advierte que el atacante podría tener acceso al buzón. No repitas ninguna de tus últimas cinco. Si es una cuenta de administrador, avisa primero a los otros administradores. Un administrador puede preferir deshabilitar la cuenta hasta terminar, lo que Microsoft dice que es preferible y no pierde el correo.
Cierra la sesión en todas partes y revoca el acceso que queda
Una contraseña nueva no termina un inicio de sesión que ya está abierto. Un administrador revoca las sesiones del usuario (Microsoft) o suspende la cuenta, lo que restablece cookies de sesión y tokens (Google). Las contraseñas de aplicación hay que borrarlas y crearlas de nuevo, porque cambiar la contraseña no las elimina. Revoca también los tokens y el acceso OAuth de la cuenta.
Busca un método de segundo paso que no agregaste
Los atacantes agregan su propio teléfono o aplicación como método de inicio de sesión para poder volver. Abre la información de seguridad de la cuenta y elimina cualquier método que el dueño no agregó (Paso 3 de Microsoft). Luego activa un segundo paso para todos. CISA dice que se aspire a métodos resistentes al phishing, como una llave de seguridad, considera los códigos por texto o correo como lo más débil, y dice que cualquier MFA es mejor que ninguna.
Revisa reenvíos, reglas, aplicaciones y quién más tiene acceso
Mira la dirección de reenvío del buzón y cada regla de la bandeja, incluidas las ocultas (Paso 6 de Microsoft), los filtros y reenvíos en Gmail (Google), las aplicaciones con consentimiento (Paso 4 de Microsoft) y los roles de la persona (Paso 5). Como revisión propia, mira también a quién más se dio acceso al buzón. Registra cada uno como en el paso 1 y luego elimínalo.
Qué nunca hacer
No borres el correo ni las reglas sospechosas antes de registrarlos. No formatees ni reinstales la computadora, porque guarda la evidencia de cómo entraron. No respondas al atacante. No cambies la contraseña de todos a la vez sin un plan: dejas al personal sin acceso mientras el atacante todavía puede tener una sesión. Nunca pagues, transfieras ni cambies un dato bancario por un correo. Nunca leas en voz alta un código de texto o de una aplicación a quien te llame.
El paso del dinero: llama ya al banco y a la otra parte
Si el dinero ya se movió, llama a tu banco y pide un recall o reversión, y una carta de hold harmless o de indemnidad, usando el teléfono del banco y no uno de un correo. IC3 dice que contactes a la institución financiera de origen "tan pronto como se reconoce el fraude" y que presentes una queja detallada en ic3.gov con los datos bancarios. La página de IC3 no da un número de horas ni de días, así que no esperes a averiguarlo. Luego llama al proveedor o cliente a un número que ya tenías y avísale que su correo también podría estar comprometido.
Cuatro partes de un incidente de correo, y cuáles son tuyas
Todo esto es mano de obra sobre las cuentas que ya pagas. No vendemos hardware y no prometemos un resultado que depende de un banco o de un delincuente.
1. Contener: cortar el acceso del atacante
En el orden que publican Microsoft y Google: deshabilitar o suspender la cuenta, cambiar la contraseña por una nueva que no se envía por correo, revocar sesiones y tokens, borrar las contraseñas de aplicación y revisar los métodos del segundo paso de inicio de sesión y las aplicaciones a las que se dio consentimiento. Se hace una vez, en orden, desde un equipo de confianza, y cada cambio queda por escrito.
2. Averiguar qué hicieron
Leer los registros de inicio de sesión y de auditoría desde el comienzo de la actividad sospechosa: desde dónde y cuándo entraron, qué reglas y reenvíos agregaron, qué correo enviaron. La guía de Microsoft indica revisar los registros y los mensajes enviados del período. Recibes una cronología por escrito, que es lo primero que piden un banco, una aseguradora o un abogado. Es respuesta a incidentes a $295 la hora.
3. El dinero y los avisos son tuyos, con nuestros documentos
La llamada al banco, la queja al FBI en ic3.gov y cualquier aviso legal los hacen tú o tu abogado. Nosotros preparamos los datos que piden: fechas, direcciones, mensajes, la cuenta a la que fue el dinero. No podemos recuperar un pago y no podemos prometer que regrese.
4. Cerrar la puerta
Después de contener, se corrigen las causas para que no se repita: la base de seguridad (un segundo paso de inicio de sesión en todas partes), protección completa contra quien envíe como tu empresa, una regla escrita de devolver la llamada ante cualquier cambio bancario y un administrador de contraseñas para no repetirlas. Cada uno tiene precio publicado en la tabla de abajo.
La tabla de tarifas, incluido lo que aparece después de empezar
Un incidente se cobra por hora con un tope escrito que tú apruebas primero, porque nadie puede saber su tamaño de antemano. Los trabajos de prevención tienen precio fijo publicado. No se hace nada extra sin tu aprobación por escrito. No vendemos hardware, llaves de seguridad ni licencias: las compras al fabricante, y nosotros las configuramos y probamos (solo mano de obra).
| Respuesta a incidentes, sin retainerMínimo de 2 horas. El tamaño de un incidente no se puede saber de antemano, así que el trabajo es por hora con un tope escrito que tú apruebas primero. No se hace nada más allá del tope sin tu aprobación por escrito. | $295 la hora |
|---|---|
| Retainer de incidentes (horas prepagadas)Hasta 25 usuarios y 6 horas prepagadas. Las horas adicionales cuestan $165 la hora en horario laboral y $195 la hora fuera de horario. El retainer tiene que existir antes del incidente para usarse en él. | $2,400 al año |
| Trabajo que debe hacerse en la oficinaVisitas solo en Cape Coral, Fort Myers, Estero, Bonita Springs y Naples. En Cape Coral y Fort Myers el mínimo es de 1 hora y no hay cargo por traslado. Las visitas en Estero, Bonita Springs y Naples tienen un mínimo de 2 horas, que cubre el traslado. El tiempo después del mínimo se cobra en pasos de 30 minutos. En cualquier otro lugar el trabajo es remoto, que es como se hace la mayor parte. | $150 la hora |
| Base de seguridad, hasta 10 usuariosCada usuario después de 10 cuesta $29, hasta 25 usuarios. Un segundo paso de inicio de sesión en cada buzón y cuenta de administrador, con el inicio de sesión solo con contraseña apagado, todo por escrito. | $995 |
|---|---|
| Solo el segundo paso de inicio de sesión (MFA), hasta 10 usuarios$15 por usuario después de 10. Una llave de seguridad física son $25 por usuario en mano de obra; la llave la compras al fabricante. | $395 |
| Impedir que otros envíen como tu empresa (DMARC en aplicación), por dominio3 meses de monitoreo incluidos, luego $35 por dominio al mes. Dominio adicional en la misma cuenta: $395. | $695 |
| Payment Fraud Shield, instalación para hasta 10 usuariosCada usuario después de 10 cuesta $29. El monitoreo son $19 por usuario al mes, mínimo $95 al mes. Incluye una regla escrita de devolver la llamada ante cualquier cambio de datos bancarios, con capacitación del personal. | $1,295 |
| Administrador de contraseñas, instalación base$39 por usuario. El inicio de sesión único cuesta $195. La suscripción del administrador de contraseñas se compra a su fabricante. | $395 |
| Cualquier otra cosa que salga a la luzSe cotiza por escrito antes de empezar, con las tarifas por hora publicadas. | Precio fijo, nombrado en la cotización |
Los precios son cifras publicadas. El tiempo en un incidente se cobra a la tarifa de incidentes por las horas trabajadas, con el mínimo indicado. No se garantiza ningún resultado, incluida la devolución de dinero.
Por qué Appluex para un incidente de correo
Un orden publicado, no una corazonada
El orden de contención sigue los pasos que publican Microsoft y Google, y cada acción queda escrita al hacerla. Ese registro es lo que piden tu banco, tu aseguradora y un abogado.
Una tarifa publicada, con un tope que tú apruebas
La respuesta a incidentes cuesta $295 la hora con mínimo de 2 horas, o $165 la hora en horario laboral y $195 la hora fuera de horario para clientes con retainer de incidentes. El trabajo se limita por escrito antes de seguir.
Decimos qué no podemos prometer
No podemos recuperar una transferencia, decidir si la ley de avisos de Florida te aplica ni prometer que el dinero regrese. Eso es de tu banco, tu abogado y las autoridades. Lo decimos desde el primer día y preparamos todo lo que te pedirán.
Soporte en español al mismo precio
Los mismos pasos, las mismas personas y los mismos precios en español y en inglés, para que un gerente lea las instrucciones y el personal las siga.
Documentos que puedes entregar a tu banco, aseguradora o abogado
El trabajo termina con evidencia por escrito, no con un visto bueno de palabra.
Registro de contención
- Cada acción en orden: cuenta deshabilitada o suspendida, contraseña cambiada, sesiones y tokens revocados, contraseñas de aplicación borradas
- Métodos de segundo paso encontrados y eliminados
- Direcciones de reenvío, reglas de bandeja y consentimientos de aplicaciones encontrados y eliminados, cada uno como se registró antes de quitarlo
Hallazgos
- Cronología desde los registros: lugares y horas de inicio de sesión, reglas agregadas, correo enviado
- Qué buzones y qué tipos de información eran alcanzables
- Lista de las personas y empresas que recibieron correo de la cuenta comprometida
Para quienes deciden
- Los datos que tu banco pide al solicitar un recall
- Los datos que tu abogado necesita para decidir sobre el aviso en Florida
- Qué se cambió para cerrar la puerta, con el precio publicado de cada cosa
Correo hackeado. Preguntas de los dueños
¿Qué hacemos primero si creemos que hackearon nuestro correo?
Fotografía y anota lo que ves, luego cambia la contraseña desde una computadora o teléfono de confianza, sin enviar la contraseña nueva por correo. Después un administrador cierra la sesión de la cuenta en todas partes, revoca sus sesiones y contraseñas de aplicación, y busca un segundo método de inicio de sesión, reglas de reenvío, reglas de bandeja y consentimientos de aplicaciones que nadie de tu equipo agregó. No borres nada primero ni respondas al atacante. Los pasos de arriba siguen lo que publican Microsoft y Google.
¿Debemos pagar, o enviar las tarjetas de regalo o la transferencia que piden?
No. Nunca pagues, transfieras ni cambies un dato bancario porque un correo lo diga, aunque parezca de alguien que conoces, porque la cuenta que lo envió puede ser la que hackearon. El Centro de Quejas de Delitos en Internet del FBI aconseja usar un segundo canal para verificar cualquier cambio de datos de cuenta. Llama a la persona a un número que ya tenías, no al del mensaje, y llama a tu banco si ya se movió dinero.
Pagamos una factura a una cuenta bancaria nueva. ¿Puede volver el dinero?
No podemos prometerlo, y nadie puede. Lo que sí puedes hacer es actuar ya: llama a tu banco a su propio número y pide un recall o reversión y una carta de hold harmless o de indemnidad, y presenta una queja en ic3.gov. IC3 dice que contactes a la institución financiera de origen tan pronto como se reconoce el fraude. Su página no da una cifra de cuánto tiempo tienes, así que trata cada hora como importante. Nosotros preparamos las fechas, cuentas y mensajes que piden el banco e IC3.
¿Tenemos que avisar a nuestros clientes?
Depende de los hechos, y lo decide un abogado. Florida tiene una ley de violación de datos, la sección 501.171 de los Estatutos de Florida. Su texto fija un plazo para avisar a las personas afectadas de no más de 30 días después de que se determina una violación o hay motivo para creer que ocurrió, sujeto a sus propias excepciones. También tiene un aviso aparte al estado para violaciones que afectan a 500 o más personas en Florida. Que tu incidente sea una violación según esa ley depende de qué información era alcanzable, por eso entregamos a tu abogado una cronología por escrito.
Manejamos información de salud. ¿Aplica algo más?
Posiblemente. HIPAA tiene sus propias reglas de aviso de violaciones, que pueden aplicar a consultorios y a sus socios de negocio que manejan información de salud de pacientes. Solo decimos que existen; si te aplican y qué exigen es una pregunta para un abogado de cumplimiento en salud, y cuanto antes la hagas, mejor.
¿Borramos de inmediato la regla de reenvío y los correos raros?
No antes de registrarlos. Fotografía la regla, la dirección de reenvío y los mensajes, y anota las fechas primero. Esos registros muestran qué hizo el atacante y por cuánto tiempo, y los registros de inicio de sesión y de auditoría que Microsoft indica revisar a los administradores forman parte de la misma evidencia. Luego elimina la regla y el reenvío, porque dejarlos mantiene al atacante leyendo tu correo.
¿Formateamos la computadora o cambiamos la contraseña de todos?
No formatees todavía la computadora: guarda la evidencia de cómo entraron, y el acceso del atacante suele ser por la cuenta, no por el equipo. Tampoco cambies todas las contraseñas a la vez sin un plan. El personal se queda sin acceso mientras una sesión del atacante puede seguir abierta. Restablece primero la cuenta comprometida y revoca sus sesiones; luego amplía el cambio en un orden planeado si los registros muestran que alcanzaron otras cuentas.
¿Cómo averiguamos qué hizo realmente el atacante?
Los registros de inicio de sesión lo responden. Los registros de inicio de sesión de Microsoft Entra y los eventos de usuario de Google muestran el lugar, la hora y el resultado de cada inicio de sesión, y Google guarda hasta seis meses de inicios de sesión web en su registro. Un inicio de sesión desde un lugar donde no tienes a nadie, a una hora en que nadie trabaja, es la señal. Leemos los registros del período y anotamos lo que muestran.
¿Qué cuesta un incidente y está cubierto por un plan?
Un incidente de correo se cobra a $295 la hora con mínimo de 2 horas, o $165 la hora en horario laboral y $195 la hora fuera de horario para clientes con retainer de incidentes. El trabajo tiene un tope escrito que tú apruebas primero. Cerrar la puerta después tiene precios publicados: la base de seguridad desde $995, DMARC en aplicación $695 por dominio, Payment Fraud Shield desde $1,295 y un administrador de contraseñas desde $395. No prometemos ningún resultado ni tiempo de respuesta.
¿Vienen a la oficina y dónde pueden ayudar?
La mayor parte del trabajo es remota, desde cualquier lugar. Las visitas en persona son solo en Cape Coral, Fort Myers, Estero, Bonita Springs y Naples, a $150 la hora. En Cape Coral y Fort Myers el mínimo es de 1 hora y no hay cargo por traslado. Las visitas en Estero, Bonita Springs y Naples tienen un mínimo de 2 horas, que cubre el traslado. El tiempo después del mínimo se cobra en pasos de 30 minutos. Una dirección cercana fuera de esas cinco ciudades recibe soporte remoto. No vendemos computadoras, teléfonos ni llaves de seguridad: si un equipo debe reemplazarse, tú lo compras y nosotros lo configuramos.
Otras formas en que podemos ayudar
Guías de nuestro equipo
¿Algo dejó de funcionar?
Se cayó el correo, una computadora no arranca, no hay internet en la oficina: llama y cuéntanos qué pasa, en español o en inglés. Sabrás el precio antes de que empiece cualquier trabajo.
En persona en Cape Coral, Fort Myers, Estero, Bonita Springs y Naples. Soporte remoto en cualquier lugar.