Este mes de septiembre está siendo raro. No por el volumen de trabajo, que era esperable después de agosto, sino por el tipo de llamada que entra. En lo que va de mes he atendido varias empresas de Valencia con el mismo problema de fondo, y todas lo descubrieron por el mismo sitio: un proveedor que reclama un pago que ya estaba hecho, o un cliente que llama preguntando por qué le han cambiado el número de cuenta.
Cuando eso pasa, la conversación siempre empieza igual. «Nos han hackeado el correo esta semana.» Y casi nunca es esta semana. Entraron en agosto.
Nadie entra en tu correo para leer tu correo
Esto es lo primero que hay que entender, porque cambia por completo la forma de reaccionar. El que consigue la contraseña de un buzón corporativo no la usa el mismo día para hacer nada visible. Se queda dentro, callado, semanas. INCIBE lo describe igual: los atacantes permanecen mucho tiempo dentro del correo de la víctima, conocen los pormenores de las operaciones, observan los mensajes y crean reglas específicas, y esperan al momento oportuno, por ejemplo cuando se espera una factura de importe alto, hay un cliente nuevo o el responsable está de vacaciones.
La pieza técnica que casi nadie conoce es esa regla. El intruso configura en tu buzón una regla que coge todo lo que llega del correo de facturación de tu proveedor, lo reenvía a una dirección suya y lo saca de la bandeja de entrada metiéndolo en una carpeta que tú no miras nunca. A partir de ahí, la conversación con tu proveedor sigue pareciendo normal, pero pasa por sus manos. Registra un dominio casi idéntico al de la otra empresa, con una letra cambiada, copia la firma y el tono, y llegado el momento manda la misma factura de siempre con un IBAN distinto.
Nadie sospecha porque no hay nada sospechoso. El importe es el correcto, el concepto es el correcto, el diseño es el correcto y la conversación previa es real, porque la ha estado leyendo durante un mes.
Por qué la factura falsa llega justo ahora
Aquí está la parte estacional, y explica lo que estoy viendo estas semanas. Agosto es el mes perfecto para entrar: hay menos gente mirando, las contraseñas se usan desde el móvil en sitios raros, se contesta desde el portátil de casa y quien se daría cuenta de algo está fuera.
Y septiembre es el mes perfecto para cobrar. Se reanudan los pedidos, se acumulan las facturas del verano, vuelve el que firma los pagos con doscientos correos sin leer y con prisa por ponerse al día. El atacante no necesita ninguna sofisticación adicional: solo necesita que tú tengas mucho trabajo. Por eso el compromiso de agosto y el fraude de septiembre son el mismo incidente separado por cuatro semanas.
Y no es un problema de empresas grandes. Según datos del FBI, el 47% de los fraudes de este tipo afectan a empresas de menos de 50 empleados, precisamente porque en una empresa pequeña una sola persona puede autorizar una transferencia alta sin que nadie más la revise.
Cambiar la contraseña no es desinfectar
Esta es la parte que me hace escribir el artículo, porque es donde se pierde el dinero por segunda vez.
Lo normal, cuando alguien se da cuenta, es cambiar la contraseña y respirar. Y la contraseña era solo la puerta. Si el intruso ha estado dentro un mes, ha dejado cosas puestas que sobreviven perfectamente a ese cambio.
Siguen ahí las reglas de reenvío que creó, que continúan mandándole tu correspondencia. Siguen ahí, en algunos sistemas, las contraseñas específicas de aplicación que generó, que son llaves paralelas que no dependen de la principal. Siguen abiertas las sesiones que tenía iniciadas en otros dispositivos. Puede seguir modificada la dirección de recuperación o el teléfono de seguridad, que es lo que le permite volver a entrar cuando quiera aunque cambies la contraseña diez veces. Pueden seguir concedidos permisos a aplicaciones de terceros que conectó a la cuenta. Y puede haber quedado un alias, una delegación o un buzón compartido con acceso que nadie ha revisado nunca.
Desinfectar un correo comprometido es revisar todo eso, una por una, en cada cuenta del dominio y no solo en la que dio la cara. Porque si han entrado en una, lo primero que hicieron fue mirar a ver si podían entrar en las demás.
Si sospechas hoy, lo primero y lo que no hay que hacer
Lo primero es el banco, y es cuestión de horas, no de días. Si la transferencia ha salido, avisar de inmediato es lo único que a veces permite bloquearla a tiempo.
Lo segundo, y esto no es intuitivo: no borres nada. Ni los correos raros, ni la regla que has encontrado, ni el mensaje con el IBAN cambiado. Eso es la prueba de lo que ha pasado, y lo vas a necesitar para el banco, para la denuncia y para tu seguro si lo tienes. La mayoría de los casos que llegan mal a mis manos llegan así porque alguien quiso limpiar antes de que lo viera nadie.
Y tercero, no contestes por el mismo hilo para preguntar si la cuenta es correcta, porque ese hilo puede estar leyéndolo el atacante. Verifica el IBAN por teléfono, llamando tú, al número que ya tenías guardado de antes, nunca al que viene en el correo.
Después toca denunciar, y si en ese buzón había datos personales de clientes, empleados o pacientes, hay una obligación que mucha gente desconoce: comunicar la brecha a la Agencia Española de Protección de Datos en 72 horas. Ahí tu asesoría y tu abogado tienen la última palabra, pero el reloj empieza a correr desde que te enteras.
La parte que casi nadie mira: tu dominio
Cuando un buzón corporativo queda comprometido, el daño no acaba en el dinero. Durante los días que el atacante ha estado enviando desde tu dominio, tu reputación de envío se ha ido al suelo. El resultado se nota semanas después y con un síntoma que nadie relaciona con el incidente: tus presupuestos empiezan a caer en la carpeta de spam de tus clientes, o directamente rebotan.
Para una empresa de servicios de Valencia que capta por la web y responde por correo, eso es una pérdida silenciosa y continua. Recuperar la entregabilidad no es cambiar de proveedor de correo: es revisar la configuración de autenticación del dominio, comprobar si has acabado en alguna lista negra y salir de ella, y vigilar durante unas semanas que el correo vuelve a llegar donde tiene que llegar. Es trabajo de infraestructura, y es exactamente el mismo terreno que el de tener una web que posiciona y un correo que funciona: el dominio es el mismo activo.
Esto se resuelve en remoto y se resuelve hoy
Una desinfección de correo no requiere que nadie se desplace. Se hace conectados, con el responsable al teléfono, y lo urgente queda cerrado el mismo día: cortar los accesos vivos, revisar cuenta por cuenta, dejar la autenticación en dos pasos bien puesta y avisar a los contactos que puedan estar recibiendo correos que no son tuyos.
Trabajo así con empresas de toda Valencia, de Sant Francesc a la avenida de Francia, y también con clientes que ya no están en la ciudad, porque el soporte informático remoto no entiende de distancias. Lo que sí entiende de distancias es la prevención: las empresas que llevan un mantenimiento informático mensual no suelen llegar a esta llamada, porque la doble verificación estaba puesta, porque alguien revisa las reglas del buzón, y porque hay un procedimiento escrito de que un cambio de número de cuenta se confirma por teléfono, siempre, aunque lo pida el jefe.
Ese procedimiento es gratis, se escribe en media página y evita la inmensa mayoría de estos fraudes. No es tecnología, es una costumbre.
Si has recibido esta semana una factura con un número de cuenta distinto al de siempre, o un proveedor te reclama algo que juras haber pagado, no cambies la contraseña y lo dejes ahí. Llámame al 666 12 36 66 y lo miramos hoy mismo, en remoto, antes de que la segunda transferencia salga.
Preguntas frecuentes
¿Cómo sé si mi correo está comprometido?
Las señales más habituales son correos que desaparecen de la bandeja de entrada, contactos que reciben mensajes tuyos que no has enviado, respuestas a conversaciones que no recuerdas, o un proveedor que reclama un pago ya realizado. La presencia de reglas de buzón que tú no has creado es la confirmación más clara.
He cambiado la contraseña. ¿Ya está solucionado?
No necesariamente. La contraseña es solo uno de los accesos. Las reglas de reenvío creadas por el atacante, las sesiones abiertas en otros dispositivos, las contraseñas de aplicación, los permisos concedidos a aplicaciones de terceros y una dirección de recuperación modificada siguen funcionando después de cambiarla. Hay que revisarlos todos.
Me han cambiado el IBAN de una factura y ya he pagado. ¿Qué hago primero?
Avisar al banco de inmediato, porque el margen para intentar bloquear la transferencia se mide en horas. Después, conservar todos los correos sin borrar nada, denunciar, y revisar si el buzón comprometido es el tuyo o el de tu proveedor, porque la desinfección hay que hacerla donde esté el problema.
¿Tengo que comunicar algo a la Agencia de Protección de Datos?
Si en la cuenta comprometida había datos personales de clientes, pacientes o empleados, existe obligación de notificar la brecha en un plazo de 72 horas desde que se tiene conocimiento. Conviene consultarlo con tu asesoría o tu abogado en cuanto se detecta el incidente, no cuando ya se ha resuelto.
¿Podéis recuperar los correos que el atacante borró?
En muchos casos sí, según el sistema de correo y el tiempo transcurrido. Es una de las razones para no tocar nada y llamar cuanto antes: cada día que pasa reduce las opciones.
¿Hace falta que vengáis a la oficina?
No. La desinfección de un correo comprometido se hace íntegramente en remoto y lo urgente se cierra el mismo día. Puedes llamar o escribir por WhatsApp al 666 12 36 66.
