Un cliente tuyo ha recibido un correo que parecía tuyo, con tu firma, tu tono y quizá hasta el hilo de una conversación real, avisándole de que «habéis cambiado de cuenta bancaria». O te acaba de llamar preguntando por una factura que tú no has enviado. Esto se puede parar, y hay cosas que dependen de los minutos siguientes, así que vamos directos.
Primero lo urgente: llama por teléfono a ese cliente, no le escribas por correo. Dile que no pague, y que si ya lo ha hecho llame a su banco ahora para pedir la retrocesión de la transferencia. Luego avisa por un canal que no sea el correo (teléfono o mensajería) a tu equipo y al resto de clientes con facturas pendientes. Y no borres nada: los correos falsos son tu prueba.
Hecho eso, averigua una cosa antes de tocar nada más: si te han entrado en el buzón o solo están imitando tu dirección desde fuera. La respuesta cambia todo lo demás.
Los tres escenarios, y por qué no se arreglan igual
Casi todos los casos caen en uno de estos tres. Identifica el tuyo antes de gastar dinero en soluciones que no aplican.
1. Suplantación desde fuera (no han entrado en nada)
Alguien envía correos poniendo tu dirección en el remitente desde un servidor cualquiera. Tu buzón está intacto: no hay nada en «Enviados» porque ese correo nunca pasó por tu servidor. Es lo más frecuente y lo más barato: la solución es configurar bien el dominio.
2. Dominio parecido
El correo no viene de tu dominio, sino de uno muy similar: una letra cambiada, un guion de más, .com en lugar de .es, o una rn que a simple vista parece una m. Tu configuración no lo puede impedir, porque ese dominio no es tuyo. Aquí la defensa es avisar y, si hace falta, reclamar.
3. Buzón comprometido (han entrado de verdad)
El atacante tiene la contraseña de una cuenta de correo tuya o de un empleado. Escribe desde dentro, responde a hilos reales y sabe qué facturas están pendientes. Es el escenario más caro y el más urgente. Suele venir de una contraseña reutilizada, de un ordenador con un ladrón de credenciales o de un phishing mordido semanas atrás.
Cómo saber cuál es tu caso: lee las cabeceras del correo
No hace falta ser técnico. Pídele a tu cliente que te reenvíe el correo falso como archivo adjunto (si lo reenvía normal, se pierden los datos que necesitas) y ábrelo:
- En Gmail: abre el mensaje, menú de los tres puntos, Mostrar original.
- En Outlook de escritorio: abre el mensaje en su propia ventana, Archivo > Propiedades > Encabezados de Internet.
- En Outlook web: los tres puntos, Ver > Ver origen del mensaje.
Busca la línea Authentication-Results y mira qué pone junto a spf=, dkim= y dmarc=. Si ves spf=fail o dmarc=fail, el correo no salió de tu servidor: escenario 1. Mira también Return-Path y las líneas Received:: si el mensaje empieza su camino en un servidor que no es el de tu proveedor de correo, misma conclusión.
Si la autenticación sale correcta y además el mensaje aparece en la carpeta de enviados de alguien de tu empresa, tienes un buzón comprometido: ve directo a la sección siguiente. Ojo, que no esté en «Enviados» no descarta el compromiso: un atacante con acceso borra sus rastros y crea reglas que ocultan las respuestas.
Si el buzón está comprometido: cerrar la puerta de verdad
Cambiar la contraseña, a secas, no echa a nadie. La sesión ya iniciada sigue activa y las puertas que dejó puestas siguen abiertas. El orden correcto es este:
- Cambia la contraseña de esa cuenta, desde un ordenador que estés seguro de que está limpio.
- Cierra todas las sesiones activas. En Gmail, al final de la bandeja, Última actividad de la cuenta > Cerrar todas las demás sesiones web. En Microsoft 365, desde el centro de administración, en el usuario, Cerrar sesión en todas las sesiones.
- Activa la verificación en dos pasos en esa cuenta y en todas las del dominio. Sin esto, la contraseña nueva dura lo que tarde en volver a robarla.
- Revisa las reglas de la bandeja de entrada. Es el paso que más gente se salta y el que delata al intruso. Busca reglas que muevan a «Elementos eliminados» o marquen como leídos los correos que contengan palabras como factura, transferencia, pago o el nombre de un cliente. En Outlook: Configuración > Correo > Reglas. En Gmail: Configuración > Filtros y direcciones bloqueadas.
- Revisa los reenvíos automáticos. En Gmail, Configuración > Reenvío y correo POP/IMAP. En Outlook, Configuración > Correo > Reenvío. Si hay una dirección desconocida ahí, llevaba tiempo leyéndote.
- Revisa contraseñas de aplicación, delegaciones y accesos de terceros. Una contraseña de aplicación olvidada sobrevive al cambio de clave.
- Comprueba el buzón en el panel del hosting si tu correo va por ahí, incluidos los redireccionamientos a nivel de cuenta en cPanel o similar.
- Pasa un antivirus actualizado al ordenador de la persona afectada. Si la contraseña se robó ahí, todo lo anterior se pierde en una semana.
Guarda capturas de todo antes de borrarlo: esas reglas de reenvío son la prueba de que hubo acceso, y la vas a necesitar.
Si es suplantación sin acceso: SPF, DKIM y DMARC
Aquí la reparación es de configuración, y es la que evita que se repita. Sin estos tres registros bien puestos, cualquiera puede escribir en nombre de tu empresa y el servidor de destino no tiene forma de saber que es mentira.
- SPF declara qué servidores tienen permiso para enviar correo de tu dominio.
- DKIM firma criptográficamente tus correos para que el destinatario compruebe que no se han manipulado.
- DMARC es el que de verdad frena el ataque: le dice al servidor de destino qué hacer con un correo que dice ser tuyo y no supera las comprobaciones.
La trampa habitual: muchas empresas tienen DMARC publicado con la política p=none, que observa pero no bloquea nada. Con p=none el correo falso llega igual. Hay que subir a quarantine y luego a reject, y hacerlo por fases para no cargarte la facturación, la newsletter o los avisos de tu web. El plan por semanas lo tienes en la guía sobre cómo activar DMARC sin quedarte sin correo, y si aún te suenan a chino los dos primeros, empieza por SPF y DKIM explicados.
Comprueba en qué política estás ahora mismo con la comprobación gratuita de SPF, DKIM y DMARC: si sale p=none, ya sabes por qué han podido escribir a tu cliente.
Ya que estás en el DNS, mira también por qué a veces tus correos legítimos acaban en no deseados: suele ser el mismo problema del revés, y lo tienes en por qué tus correos llegan a spam. Para ordenar el conjunto de una vez (hosting, HTTPS, correo y DNS), la guía de configuración segura de una web dedica un apartado al correo del dominio.
Si es un dominio parecido al tuyo
Contra esto no hay configuración que valga, porque el dominio no es tuyo. Lo que sí puedes hacer:
- Documentar: fecha, dominio exacto, correos recibidos con sus cabeceras completas.
- Consultar el registro público del dominio para ver cuándo se creó y quién lo gestiona. Uno registrado hace tres semanas es un indicio bastante claro de intención.
- Denunciar el abuso al registrador y al proveedor de alojamiento, con las pruebas, y avisar a tus clientes de ese dominio concreto.
- Si tienes la marca registrada, preguntar a tu abogado por las vías de recuperación del dominio. Es lento, pero existe.
- Registrar tú las variantes evidentes de tu dominio. Cuestan poco al año y cierran el camino más fácil.
El dinero, la denuncia y el banco
Si tu cliente llegó a pagar, lo decisivo es la velocidad: que su banco intente la retrocesión en cuanto se detecte, porque pasadas unas horas el dinero suele estar ya movido a otras cuentas. Denunciad ambos ante la Policía Nacional o la Guardia Civil, aportando los correos completos con cabeceras, el número de cuenta al que se transfirió y el justificante bancario. Aunque la recuperación no siempre llega, la denuncia es lo que permite bloquear cuentas y lo que va a pedirte tu seguro si tienes póliza de ciberriesgo.
Sobre quién asume la pérdida no hay respuesta única. Lo que sí conviene saber es que, si el ataque salió de un buzón tuyo comprometido, tu posición es más débil que si fue una suplantación externa. Otra razón para determinar bien el escenario desde el principio.
La parte legal: ¿esto es una brecha de datos?
Si te han entrado en un buzón, la respuesta suele ser sí. En ese buzón hay datos personales de clientes, proveedores y empleados, y un tercero ha tenido acceso a ellos. Eso activa el plazo de 72 horas para valorar la notificación a la Agencia Española de Protección de Datos, y ese reloj empieza cuando tienes conocimiento razonable del incidente, no cuando terminas de arreglarlo. El procedimiento y los criterios para decidir si es notificable están en la guía para notificar una brecha a la AEPD en 72 horas. Si solo hubo suplantación externa, sin acceso a ningún sistema tuyo, normalmente no hay brecha, pero documéntalo igual en tu registro interno.
Que no vuelva a pasar
Tres medidas, por orden de rentabilidad. Verificación en dos pasos obligatoria en todo el correo de la empresa, sin excepciones para la dirección. DMARC en modo bloqueo, no en modo observación. Y una norma escrita y conocida por todos: cualquier cambio de número de cuenta se confirma por teléfono, a un número que ya teníamos guardado, nunca al que viene en el correo. La tercera es gratis y es la que más fraudes evita.
Complétalo enseñando a tu equipo a reconocer estos correos, porque la técnica se repite: tienes las señales en cómo reconocer un correo de phishing dirigido a tu empresa.
Y una comprobación que casi nadie hace: si el atacante llegó a tu correo a través de tu web (un WordPress comprometido, una cuenta de hosting), el problema no está solo en el buzón. Comprueba tu web gratis con PathScan antes de dar el incidente por cerrado.