¿Qué debe hacer una empresa si sospecha que una cuenta de correo fue comprometida?

Debe contener el acceso desde un equipo confiable, cambiar la credencial, revocar sesiones y métodos desconocidos, activar o restablecer MFA y revisar reglas, reenvíos, delegaciones y aplicaciones conectadas. También conviene preservar evidencia y confirmar por otro canal cualquier instrucción financiera enviada desde la cuenta.

Riesgos que conviene revisar

  • Cambiar solo la contraseña y dejar sesiones, tokens o reglas maliciosas activas.
  • Borrar mensajes y registros antes de conservar evidencia.
  • Responder al atacante desde la misma conversación comprometida.
  • No advertir a quienes recibieron facturas, enlaces o instrucciones falsas.

Recomendaciones seguras

  1. Use un equipo confiable para bloquear o restablecer la cuenta y revocar sesiones activas.
  2. Cambie la contraseña y vuelva a registrar métodos MFA después de validar al usuario.
  3. Revise reglas de bandeja, reenvíos, delegados, aplicaciones conectadas y métodos de recuperación.
  4. Consulte registros de inicio de sesión y trazas de mensajes para establecer alcance y tiempo.
  5. Avise por un canal independiente a destinatarios de mensajes o solicitudes financieras sospechosas.
  6. Preserve encabezados, horarios y evidencia; luego corrija la causa y documente el incidente.

Respuesta ante una cuenta comprometida

Primeros 15 minutos

  • Confirme el incidente por un canal independiente y use un dispositivo confiable.
  • Preserve encabezados, alertas, horas y capturas antes de borrar mensajes.
  • Bloquee temporalmente o revoque sesiones activas y métodos desconocidos.

Primera hora

  • Restablezca la credencial y vuelva a registrar MFA después de validar al usuario.
  • Revise reglas, reenvíos, delegados, aplicaciones conectadas y recuperación.
  • Proteja cuentas administrativas relacionadas y verifique solicitudes financieras.

Primeras 24 horas

  • Consulte registros de inicio de sesión y trazas para establecer el alcance.
  • Avise por otro canal a destinatarios de mensajes o pagos sospechosos.
  • Documente la causa, las decisiones, los responsables y las acciones de seguimiento.

Cuándo buscar ayuda especializada

  • Se enviaron pagos, datos sensibles o mensajes desde la cuenta comprometida.
  • La cuenta es administrativa o tiene acceso a archivos, facturación o múltiples buzones.
  • No se puede revocar el acceso o continúan apareciendo reglas y sesiones desconocidas.

Fuentes de referencia

Estas fuentes públicas orientan buenas prácticas generales. No sustituyen una evaluación del entorno.