Alguien ha leído sus correos, ha cambiado la dirección de recuperación o ha creado una regla que reenvía sus mensajes en silencio a una dirección externa. La reacción natural es blindar la cuenta y pasar página. Es comprensible, y proteger la cuenta es imprescindible. Pero los minutos en los que se recupera el control suelen ser los mismos en los que las huellas de la intrusión se sobrescriben, se eliminan o simplemente se dejan caducar.
Esta guía trata de ese momento: qué hacer en las primeras horas tras descubrir un acceso no autorizado a una cuenta de correo, cómo proteger la cuenta sin destruir lo que más adelante puede servir para demostrar lo ocurrido y qué pueden y qué no pueden demostrar los registros de acceso. No describe en detalle nuestros servicios de certificación, que se presentan en las páginas específicas enlazadas al final.
Índice
- Señales de que otra persona está usando su cuenta
- Proteger la cuenta sin borrar las huellas
- Qué hay que conservar
- Por qué el tiempo importa: los registros no duran siempre
- Qué pueden y qué no pueden mostrar los registros de acceso
- Un ejemplo práctico
- Adquisición forense, asesoramiento jurídico y denuncia
- Cómo solicitar el servicio
Señales de que otra persona está usando su cuenta
Un acceso no autorizado a una cuenta de correo rara vez se anuncia. Lo habitual es detectarlo por pequeñas anomalías, por ejemplo:
- notificaciones de seguridad del proveedor sobre un nuevo inicio de sesión, un nuevo dispositivo o un cambio de contraseña que usted no ha hecho;
- mensajes marcados como leídos que nunca abrió, o mensajes enviados que no escribió;
- contactos que reciben desde su dirección peticiones inusuales, como instrucciones de pago o enlaces;
- nuevas direcciones de reenvío, filtros que mueven o eliminan mensajes, o datos de recuperación modificados;
- aplicaciones de terceros o contraseñas de aplicación que no reconoce en la configuración de seguridad;
- un cierre de sesión repentino o una contraseña que deja de funcionar.
Ninguna de estas señales prueba por sí sola una intrusión. Algunas tienen explicaciones inocentes, como un dispositivo olvidado o un compañero con acceso delegado. Son motivos para examinar la situación con más detalle, haciéndolo de forma que la información no se altere.
Proteger la cuenta sin borrar las huellas
En las primeras horas compiten dos objetivos: detener la intrusión y conservar sus pruebas. Ninguno de los dos puede simplemente aplazarse.
Si el intruso está causando daños en este momento (envía correos fraudulentos, cambia los datos de recuperación, borra mensajes o le impide el acceso), la protección de la cuenta y de las personas que le escriben va primero. Un daño en curso no es un precio aceptable a cambio de pruebas más limpias.
Si no hay indicios de actividad en curso, dedicar unos minutos a documentar antes de cambiar nada suele merecer la pena, y contactar de inmediato con un proveedor forense permite planificar la adquisición junto con las medidas de seguridad, y no después.
En la práctica, una secuencia prudente suele ser la siguiente:
- Mirar antes de cambiar. Abra las páginas de seguridad de la cuenta (actividad reciente, dispositivos conectados, reenvíos, filtros, aplicaciones conectadas) y haga capturas o grabaciones de pantalla, anotando la hora. No es una adquisición forense, pero deja constancia de lo que vio.
- Conservar las notificaciones del proveedor. No borre los correos o SMS de alerta sobre nuevos inicios de sesión o cambios de contraseña: suelen estar entre la información más útil.
- Proteger la cuenta de forma consciente. Cambie la contraseña desde un dispositivo de confianza, active la verificación en dos pasos y revise las opciones de recuperación. Tenga en cuenta que algunas acciones, como cerrar todas las sesiones o eliminar un dispositivo, pueden cambiar lo que las páginas de seguridad muestren después.
- Eliminar las reglas maliciosas después de documentarlas. Una regla de reenvío o un filtro que borra mensajes debe detenerse, pero antes hay que registrarlo, incluida la dirección de destino y las condiciones que aplica.
- No eliminar la cuenta ni borrar mensajes de forma masiva. Cerrar la cuenta puede hacer inaccesible su historial de actividad, y los mensajes borrados pueden ser precisamente los que muestran lo que hizo el intruso.
Si la cuenta pertenece a un dominio de empresa, las páginas de seguridad que ve el usuario son solo una parte del cuadro. Los administradores de los servicios de correo empresariales suelen tener acceso a registros adicionales de auditoría e inicio de sesión, según su configuración y licencia. Conviene implicar pronto al administrador de sistemas y pedirle que no purgue ni restablezca nada antes de que se hayan conservado los registros.
Si sospecha que la intrusión se originó en un ordenador o teléfono comprometido, evite reinstalar o restablecer ese dispositivo antes de pedir consejo: el propio dispositivo puede contener información que los registros de la cuenta no tienen.
Qué hay que conservar
El objetivo es conservar lo suficiente para reconstruir qué ocurrió, cuándo y desde dónde. La disponibilidad de cada elemento depende del proveedor y del tipo de cuenta.
Actividad de la cuenta
- La actividad reciente de inicio de sesión y de seguridad, con fechas, horas y la zona horaria indicada.
- Direcciones IP, ubicaciones aproximadas e información de dispositivo o navegador que muestra el proveedor.
- Las listas de dispositivos conectados y de sesiones activas.
Cambios de configuración
- Direcciones de reenvío, filtros y reglas automáticas, incluidas las que borran o archivan mensajes.
- Cambios en el correo de recuperación, el teléfono de recuperación o la verificación en dos pasos.
- Accesos delegados, aplicaciones de terceros conectadas y contraseñas de aplicación.
Mensajes y notificaciones
- Las alertas de seguridad del proveedor sobre inicios de sesión, dispositivos o cambios de contraseña.
- Los mensajes enviados, leídos, movidos o borrados por el intruso, en la medida en que puedan identificarse.
- Las cabeceras completas de los correos relevantes, que contienen información de enrutamiento no visible en la vista normal.
Información externa a la cuenta
- Los mensajes de contactos que recibieron correos sospechosos desde su dirección.
- Los justificantes bancarios o de pago, si la intrusión dio lugar a una transferencia fraudulenta.
- Sus propias notas: cuándo notó el problema, qué vio y qué cambió, en orden.
Cuando el proveedor ofrece una exportación oficial de datos, esta puede complementar la adquisición de las páginas de seguridad. Para las cuentas de las dos plataformas principales ofrecemos también la certificación de Google Takeout y la certificación de exportación de cuentas Microsoft.
Por qué el tiempo importa: los registros no duran siempre
Los proveedores de correo no conservan indefinidamente el historial de actividad que muestran a los usuarios. Según el proveedor, el tipo de cuenta y la página concreta, la ventana visible puede ir de unas pocas semanas a varios meses, y algunas vistas solo muestran las sesiones más recientes. Los servicios empresariales pueden conservar registros de auditoría más largos, pero solo si están activados y dentro de los límites de la suscripción.
De ello se derivan dos consecuencias. La primera, que esperar tiene un coste: una intrusión descubierta tarde puede estar ya en parte fuera de la ventana visible. La segunda, que la información visible hoy puede no estarlo la semana que viene, aunque nadie toque la cuenta. Por eso la conservación de los registros debería empezar en cuanto se descubre la intrusión, a ser posible antes de redactar la denuncia.
Qué pueden y qué no pueden mostrar los registros de acceso
Una dirección IP en un registro de actividad es un indicio valioso, pero a menudo se sobrevalora. Una adquisición forense hace que los registros sean verificables; no cambia lo que son capaces de demostrar.
| Pregunta | Aportación de los registros conservados |
|---|---|
| ¿Se usó la cuenta desde una conexión ajena? | Los registros pueden mostrar inicios de sesión desde direcciones IP, dispositivos o ubicaciones distintos de los habituales del usuario. |
| ¿Cuándo ocurrió y qué cambió? | Las marcas de tiempo, las páginas de configuración y las notificaciones pueden respaldar una cronología de accesos y cambios, como nuevas reglas o nuevos datos de recuperación. |
| ¿Desde dónde se conectaron? | La geolocalización de una IP es aproximada. Suele indicar el operador de red o una zona general, no una dirección precisa, y puede corresponder a una VPN, un proxy o un servicio de alojamiento. |
| ¿Quién estaba detrás de la conexión? | Una dirección IP no es una persona. Vincularla a un titular requiere normalmente datos en poder del operador de red, obtenidos a través de las autoridades competentes. Aun así, una conexión compartida o pública puede no identificar a un individuo. |
| ¿Fue ilícito el acceso? | Es una cuestión jurídica. Depende, por ejemplo, de si la persona tenía o había tenido autorización, y la valoran el abogado y, en última instancia, la autoridad competente. |
| ¿Ha cambiado el material conservado desde la adquisición? | Los valores hash SHA-256 y un sello cualificado de tiempo electrónico permiten verificar la integridad de los archivos adquiridos y el momento en que se sellaron. |
El trabajo técnico responde, por tanto, a preguntas de existencia, tiempo e integridad. La atribución y la calificación jurídica son pasos distintos que se apoyan en él.
Un ejemplo práctico
El siguiente escenario es hipotético y simplificado.
Un pequeño estudio de ingeniería se entera por un cliente de que una factura recibida por correo indicaba nuevos datos bancarios. El estudio nunca envió esa versión. El administrador revisa el buzón del gerente y encuentra una regla, creada unas semanas antes, que reenvía a una dirección externa todo mensaje que contenga la palabra «factura» y lo elimina de la bandeja de entrada. La página de actividad reciente muestra accesos desde una red de otro país.
1. Detener el daño en curso
Como la regla sigue activa y los clientes podrían pagar en la cuenta equivocada, el estudio avisa de inmediato a sus clientes por otro canal y les pide que confirmen los datos bancarios por teléfono.
2. Registrar lo que es visible
Antes de tocar nada, el administrador hace capturas de la regla, de sus condiciones y su destino, así como de la página de actividad, anotando la hora. Se conservan los correos de notificación del proveedor.
3. Recurrir a un proveedor forense
El estudio contacta ese mismo día con un proveedor especializado. La adquisición se planifica para abarcar las páginas de seguridad del buzón, la regla, los registros de inicio de sesión y auditoría disponibles para el administrador y las cabeceras de los mensajes relevantes; se calcula el hash SHA-256 de los archivos y se sellan con un sello cualificado de tiempo electrónico.
4. Proteger la cuenta
Una vez adquirido el material, se elimina la regla, se cambia la contraseña, se activa la verificación en dos pasos y se revocan las sesiones activas.
5. Valoración jurídica y denuncia
Un abogado examina el informe junto con la documentación de pagos del cliente y asesora sobre la denuncia, la comunicación al banco y las posibles obligaciones de protección de datos derivadas del incidente.
La certificación no revela quién creó la regla ni garantiza la recuperación del dinero. Lo que aporta es un registro verificable de lo que había en la cuenta, de cómo estaba configurada y desde qué conexiones se utilizó, conservado antes de que los registros pudieran caducar.
Adquisición forense, asesoramiento jurídico y denuncia
Intervienen tres actividades distintas, y conviene mantenerlas separadas:
- La adquisición forense conserva y documenta de forma verificable la actividad, la configuración y los mensajes de la cuenta. Es el trabajo de un proveedor de informática forense como CertifyWebContent.
- La valoración jurídica determina si los hechos constituyen un delito o un ilícito civil, qué ley se aplica y qué acciones existen. Es la función del abogado. En la Unión Europea, la Directiva 2013/40/UE obliga a los Estados miembros a tipificar como delito el acceso ilegal a sistemas de información, pero la forma y los plazos para denunciar dependen del derecho nacional.
- La denuncia y la investigación corresponden a la policía o a la autoridad competente. Por lo general, solo las autoridades pueden obtener de proveedores y operadores de red los datos necesarios para vincular una conexión con un titular.
Un material conservado y documentado resulta útil en cada fase: da al abogado una base estable para su valoración y permite que la denuncia se refiera a hechos concretos en lugar de a una descripción genérica.
La adquisición debe referirse a cuentas y datos a los que el cliente tiene derecho a acceder, y solo a lo pertinente para el incidente. Una cuenta puede contener datos personales de terceros, cuyo tratamiento está sujeto a la normativa de protección de datos, empezando por el RGPD.
Cómo solicitar el servicio
CertifyWebContent certifica accesos no autorizados a cuentas de correo y en línea: actividad de inicio de sesión, direcciones IP y dispositivos, cambios de configuración y mensajes relacionados, adquiridos mediante un procedimiento documentado, protegidos con hash SHA-256, sellados con un sello cualificado de tiempo electrónico y acompañados de un informe técnico y de nuestra declaración FEDIS. El servicio puede prestarse a distancia.
Encontrará los detalles en la página de la certificación de accesos no autorizados a cuentas con IP. Para los casos propios de los buzones de correo, como reglas de reenvío, Business Email Compromise o phishing, consulte también la certificación de violación de cuenta de correo electrónico.
Para recibir un presupuesto, indíquenos el proveedor y el tipo de cuenta afectada, cuándo notó la intrusión, si actualmente tiene el control de la cuenta y qué ha cambiado ya. Si los registros de actividad corren el riesgo de salir pronto de la ventana visible, indíquenoslo para que podamos valorar los plazos de intervención.
Solicitar presupuesto para la certificación de un acceso no autorizado
