¿Qué señales indican que una cuenta de correo corporativa está comprometida?
La guía de respuesta de Microsoft recoge varias de estas señales de buzón comprometido, y casi todas sirven también para Google Workspace:
- Reglas de bandeja de entrada que nadie creó, sobre todo las que reenvían a direcciones externas o mueven mensajes a carpetas poco vigiladas, como RSS o Correo no deseado.
- Mensajes en Enviados o Eliminados que el usuario no escribió, a menudo respuestas en hilos de facturas o pagos.
- Reenvío externo configurado hace poco.
- Avisos de MFA que nadie ha pedido, cambios de contraseña o bloqueos sin explicación.
- Inicios de sesión desde países, IP o dispositivos que no encajan con el usuario.
- El buzón bloqueado para enviar por haber mandado correo masivo.
- Clientes o proveedores que preguntan por un correo extraño recibido desde esa cuenta.
- Aplicaciones nuevas con permiso para leer correo o archivos.
¿Qué hacer primero para contener una cuenta comprometida?
El orden importa. Primero cortas el acceso del atacante y después limpias lo que dejó, documentándolo antes de borrarlo porque es evidencia.
- Bloquea el inicio de sesión. Microsoft recomienda deshabilitar la cuenta mientras dura la investigación. En Google Workspace, suspender al usuario restablece sus cookies de inicio de sesión y sus tokens OAuth.
- Revoca las sesiones y los tokens. Cambiar la contraseña no garantiza cerrar lo que ya está abierto: en Microsoft Entra ID, los tokens de acceso duran una hora por defecto y algunas aplicaciones mantienen sus propias sesiones hasta que caducan.
- Restablece la contraseña desde un equipo limpio y no la envíes por correo. Si la cuenta se sincroniza desde un Active Directory local, cámbiala allí; Microsoft aconseja hacerlo dos veces para mitigar ataques pass-the-hash.
- Elimina los métodos de MFA y los dispositivos registrados que el usuario no reconozca.
- Exporta y después elimina las reglas de bandeja de entrada, reenvíos y delegaciones maliciosas, incluidas las reglas ocultas.
- Revoca las aplicaciones con consentimiento que no estén autorizadas y borra las contraseñas de aplicación. En Microsoft 365 no se revocan solas al cambiar la contraseña.
- Revisa los roles de administración asignados a la cuenta y retira los que no correspondan.
¿Dónde se hace cada paso en Microsoft 365 y en Google Workspace?
| Acción | Microsoft 365 | Google Workspace |
|---|---|---|
| Bloquear el acceso | Deshabilitar la cuenta en Entra ID | Suspender al usuario en la consola de administración |
| Cerrar sesiones | Revocar sesiones en Entra ID o Revoke-MgUserSignInSession | La suspensión restablece cookies y tokens OAuth |
| Reglas y reenvíos | Get-InboxRule con -IncludeHidden y propiedades de reenvío del buzón | Filtros y reenvío del usuario en Gmail, revisables también con la API de Gmail |
| Aplicaciones con permisos | Aplicaciones con consentimiento del usuario en Entra ID | Eventos de registro de OAuth y revocación de tokens |
| Contraseñas de aplicación | El usuario las borra y crea otras nuevas | Eliminar las creadas por el usuario |
| Investigación | Registros de inicio de sesión y auditoría, seguimiento de mensajes | Eventos de usuario (hasta seis meses), búsqueda de registros de correo, eventos de Drive |
¿Cómo investigar qué hizo el atacante con la cuenta?
Fija una ventana temporal desde el primer inicio de sesión anómalo hasta la contención, y responde a estas preguntas:
- ¿Cómo y desde dónde entró? IP, ubicación, navegador, aplicación cliente y si superó el MFA. Un MFA superado desde una IP extraña apunta a robo de sesión o a una aprobación engañada.
- ¿Qué leyó o descargó? Los registros de acceso a elementos del buzón y la actividad en OneDrive, SharePoint o Drive, según tu licencia y la auditoría que tengas activada.
- ¿Qué envió? Revisa el seguimiento de mensajes y la carpeta Enviados, con atención a los hilos de facturas y a los correos internos.
- ¿Qué cambió? Reglas, métodos de MFA, aplicaciones, delegaciones y firma.
- ¿Tocó otras cuentas? Busca las mismas IP y el mismo patrón de reglas en el resto de usuarios.
Si el atacante pudo leer correos con datos de clientes o empleados, consulta con tu asesoría jurídica las obligaciones que puedan aplicarte.
¿Cómo suelen entrar en una cuenta corporativa?
- Phishing de credenciales, incluido el phishing con proxy intermedio (AiTM), que roba la cookie de sesión y supera el MFA.
- Contraseñas reutilizadas o robadas por infostealers en equipos personales.
- Fatiga de MFA: avisos repetidos hasta que alguien aprueba uno.
- Consentimiento a una aplicación OAuth maliciosa, que da acceso al correo sin necesidad de contraseña.
- Protocolos antiguos que no admiten MFA, si siguen habilitados en tu entorno.
¿Qué hacer después de recuperar la cuenta?
- Avisa por teléfono a los contactos que recibieron correos fraudulentos desde la cuenta, sobre todo si hubo peticiones de pago o cambios de cuenta bancaria.
- Exige MFA resistente al phishing (llaves FIDO2 o passkeys) para administradores y para finanzas.
- Aplica acceso condicional que pida dispositivo gestionado o ubicaciones de confianza.
- Bloquea por política el reenvío automático a dominios externos.
- Limita qué aplicaciones pueden aprobar los usuarios por su cuenta.
- Crea alertas para reglas de reenvío nuevas y para cambios en los métodos de MFA.
Cómo te ayuda Ciberia con las cuentas comprometidas
Ciberia MDR se integra con tu plataforma de identidad y tu correo, y vigila a cualquier hora esa telemetría junto con la de endpoint, red y cloud que ya tienes. Sus agentes de IA investigan cada alerta y proponen la respuesta, un analista valida las acciones con impacto y la contención se orquesta sobre tus propias herramientas. El SLA es de 15 minutos desde la alerta crítica hasta la contención inicial, y cada acción automática queda trazada.
Con Threat Hunting, Ciberia busca de forma retrospectiva persistencia y movimiento lateral, y convierte cada hallazgo en una nueva regla de detección. Ciberia CTM vigila las credenciales filtradas de tu plantilla y envía alertas con contexto y la acción recomendada.
