Un mensaje enviado desde su propia cuenta, una regla de reenvío que usted no creó o un pago desviado a una cuenta desconocida pueden confirmar un caso de correo comprometido. No se trata solo de haber perdido el acceso a una bandeja de entrada. El atacante puede estar leyendo conversaciones privadas, suplantando su identidad ante familiares o clientes y usando información real para cometer fraude financiero.
La rapidez importa, pero actuar sin preservar pruebas puede dificultar una investigación posterior. La prioridad es contener el acceso ilícito, proteger el dinero y dejar una cronología clara de lo ocurrido. Si hay transferencias, facturas alteradas, datos sensibles o amenazas, el incidente requiere una respuesta técnica y legal coordinada.
Qué ocurre en un caso de correo comprometido
El compromiso de correo electrónico suele empezar con una contraseña filtrada, una página falsa de inicio de sesión, un dispositivo infectado o la reutilización de credenciales usadas en otro servicio. En cuentas corporativas también puede originarse en una autorización indebida concedida a una aplicación conectada al correo.
Una vez dentro, el delincuente no siempre cambia la contraseña. Muchas veces permanece oculto: revisa hilos de conversación, identifica pagos pendientes, descarga documentos y espera el momento adecuado para intervenir. Esta táctica es frecuente en el fraude de compromiso de correo empresarial, conocido como BEC por sus siglas en inglés.
Por ejemplo, el atacante puede observar una conversación real entre una empresa y su proveedor. Después, envía un mensaje casi idéntico al original indicando que los datos bancarios han cambiado. Como conoce nombres, importes, fechas y el tono habitual de comunicación, el engaño parece legítimo. La víctima no solo enfrenta un problema tecnológico: puede enfrentar una pérdida económica, exposición de datos y consecuencias contractuales.
Señales que exigen actuar sin demora
Algunas alertas son evidentes, como no poder entrar a la cuenta o recibir avisos de inicio de sesión desde una ubicación desconocida. Otras son más discretas: correos marcados como leídos sin explicación, mensajes eliminados, respuestas que usted no escribió o contactos que reciben solicitudes extrañas desde su dirección.
Revise especialmente la configuración de la cuenta. Las reglas automáticas pueden mover correos de bancos, proveedores o clientes a carpetas ocultas. El reenvío automático puede enviar una copia de cada mensaje a una dirección externa. También conviene verificar si se agregaron métodos de recuperación, delegados, aplicaciones autorizadas o dispositivos que usted no reconoce.
Si un tercero solicita cambiar una cuenta de pago, compartir códigos de verificación, abrir un archivo urgente o continuar la conversación fuera del canal habitual, confirme la instrucción por teléfono con un número ya verificado. No responda directamente al mensaje sospechoso ni use los datos de contacto que este incluye.
Primeras acciones para contener el incidente
El orden de actuación depende de si aún controla la cuenta y de si hay dinero en riesgo. Si existe una transferencia reciente o inminente, contacte primero a su banco o proveedor de pagos por sus canales oficiales. Solicite el bloqueo, la anulación o el rastreo de la operación según corresponda. La posibilidad de recuperar fondos depende del país, el medio de pago, el momento del aviso y de si el dinero ya fue retirado o transferido, por lo que no debe esperarse a reunir toda la información antes de reportar.
Después, siga estas medidas de contención:
- Cambie la contraseña desde un dispositivo confiable y cree una clave única, larga y no reutilizada en otros servicios.
- Cierre todas las sesiones activas y elimine dispositivos, aplicaciones, delegados y métodos de recuperación no autorizados.
- Active la autenticación multifactor. Cuando esté disponible, una aplicación autenticadora o una llave de seguridad ofrece mayor protección que los códigos por SMS.
- Revise las reglas de la bandeja de entrada, el reenvío, la carpeta de eliminados, enviados y archivados, así como los registros de actividad del proveedor.
- Avise a sus contactos afectados con un mensaje breve y verificable. Indique que ignoren solicitudes de dinero, archivos, enlaces o cambios de datos enviados desde su cuenta durante el período comprometido.
- Cambie también las contraseñas de servicios vinculados al correo, en especial banca, billeteras digitales, almacenamiento en la nube, redes sociales y portales de trabajo.
No borre los mensajes fraudulentos de inmediato. Guarde capturas completas, encabezados de correo, fechas, direcciones involucradas, comprobantes bancarios, números de operación y cualquier aviso recibido del proveedor. Si debe eliminar un mensaje por seguridad, conserve antes una copia o exportación que mantenga sus datos técnicos.
Si ya no puede recuperar la cuenta
Use únicamente la ruta oficial de recuperación del proveedor. Evite supuestos técnicos que pidan pagos por adelantado, contraseñas, códigos de autenticación o acceso remoto a su equipo. Un incidente de correo comprometido atrae con frecuencia una segunda estafa: personas que prometen recuperar la cuenta o el dinero sin revisar evidencia ni explicar el procedimiento.
Mientras se recupera el acceso, informe a su banco, empleador, clientes y contactos relevantes mediante otro canal confiable. Si el correo estaba asociado a servicios financieros, solicite vigilancia reforzada, actualización de credenciales y revisión de movimientos. En casos de alto riesgo, podría ser necesario congelar temporalmente operaciones específicas.
Cómo preservar evidencia útil para una investigación
La evidencia digital pierde valor cuando se mezcla, se modifica o se recoge sin contexto. No hace falta ser especialista para hacer una primera preservación ordenada. Anote la hora en que detectó el incidente, el primer mensaje sospechoso, los cambios observados y las acciones que realizó. Diferencie lo que vio directamente de lo que le informó otra persona.
Conserve el correo original en formato electrónico cuando sea posible, no solo como captura de pantalla. Los encabezados contienen información técnica sobre el recorrido del mensaje y pueden ayudar a identificar dominios falsos, servidores utilizados y patrones de suplantación. También guarde los archivos adjuntos sin abrirlos en el equipo habitual. Un análisis forense debe realizarse en un entorno seguro.
En fraudes de pago, reúna las facturas originales, los mensajes donde se solicitó el cambio de cuenta, las instrucciones de transferencia, los recibos y la respuesta de la entidad financiera. Si se comunicó con el banco por teléfono, registre fecha, hora, número de caso y el nombre o identificador del representante. Estos detalles fortalecen una reclamación y evitan contradicciones al denunciar.
Reporte el fraude y coordine la respuesta
Cambiar una contraseña no cierra necesariamente el caso. Si se usó su identidad para engañar a terceros, es necesario avisar a quienes puedan tomar decisiones de pago, compartir información o recibir mensajes en su nombre. En una empresa, deben participar de inmediato las áreas de finanzas, tecnología, dirección y asesoría legal. Ocultar el incidente por temor reputacional suele ampliar el daño.
Presente el reporte ante el proveedor de correo, la entidad financiera y la autoridad de delitos cibernéticos o policial competente en su jurisdicción. Si hay datos personales de clientes o empleados expuestos, pueden existir obligaciones de notificación y plazos legales concretos. El procedimiento cambia entre países y estados, por lo que conviene recibir orientación jurídica antes de realizar comunicaciones masivas o atribuir públicamente el hecho a una persona determinada.
Cuando hay pérdidas económicas, múltiples cuentas, operaciones internacionales o indicios de extorsión, una intervención especializada puede organizar la evidencia, analizar los accesos, coordinar contactos con plataformas y entidades financieras, y apoyar la ruta legal. Enisa interviene en este tipo de incidentes con un enfoque que combina investigación digital, coordinación operativa y asistencia jurídica, sin prometer resultados que dependan de terceros o de los tiempos institucionales.
Evite que el atacante regrese
Después de recuperar el control, revise cómo ocurrió el acceso. Si la contraseña fue reutilizada, cambie todas las cuentas donde la utilizó. Si introdujo credenciales en una página fraudulenta, revise el dominio exacto y alerte a quienes pudieron recibir el mismo enlace. Si sospecha de malware, no considere seguro el dispositivo hasta que sea revisado y limpiado profesionalmente.
Establezca una verificación obligatoria para cambios de cuentas bancarias o pagos relevantes. Un correo, incluso proveniente de una dirección conocida, no debe ser la única aprobación para mover dinero. La llamada de confirmación a un contacto validado previamente es una medida sencilla que puede detener un fraude de gran impacto.
La recuperación comienza con una acción concreta: detenga el acceso, proteja los fondos y conserve cada prueba. Pedir ayuda pronto no es una señal de debilidad; es la forma de recuperar control cuando alguien ha intentado usar su identidad contra usted.