Contraseñas y una dirección de correo utilizada de forma indebida: ¿hackeado o suplantado?

Módulo 3: Gestionar su buzón de correo · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá proteger bien su buzón de correo, reconocer la diferencia entre un remitente suplantado y un buzón comprometido, y tomar las medidas correctas en cada caso.

Conceptos clave: contraseña segura, frase de contraseña, gestor de contraseñas, reutilización, filtración de datos, fuerza bruta, bloqueo de IP, verificación en dos pasos, contraseña de aplicación, phishing, spoofing (remitente suplantado), backscatter, buzón comprometido, reglas y redirecciones sospechosas, límite de envío

Dos tipos de "mi dirección envía spam"

Casi todos los administradores lo oyen alguna vez: "desde mi dirección se está enviando spam". Hay dos causas muy distintas, y el enfoque es diferente en cada caso.

1. Suplantación (spoofing): nadie entró en su buzón

Una dirección de remitente no es más que texto. Cualquiera puede enviar un correo con Van: info@example.com (se muestra como "De:"), a través de su propio servidor, sin acceder nunca a su buzón. Esto se llama spoofing.

Así lo reconoce:

• De repente recibe decenas o cientos de rebotes (bounces) sobre correos que nunca envió, a menudo a direcciones desconocidas. Esto es backscatter: los destinatarios rechazaron el correo falsificado y enviaron el mensaje de error a la dirección que figuraba en él, es decir, a usted.
• En su propia carpeta de Enviados no hay nada.
• En los registros de su servidor de correo (en muchos paneles: una función como "seguimiento de correo electrónico") no ve esos mensajes como correo saliente.
• En las cabeceras de ese correo devuelto (lección 1.5) aparece una línea Received de un servidor que no es el suyo.

Cambiar su contraseña no sirve de nada aquí: nadie la tenía. Lo que sí ayuda es DMARC (lección 4.4). Con p=quarantine o p=reject indica a los destinatarios que el correo que no pase su SPF o DKIM debe ponerse en cuarentena o rechazarse. Así el correo falsificado llega con menos frecuencia, y también se engaña a menos personas usando su nombre. Los rebotes normalmente cesan solos al cabo de unos días; puede descartarlos.

2. Un buzón comprometido: alguien tiene su contraseña

Si alguien tiene su contraseña, inicia sesión en su servidor y envía spam realmente a través de su buzón. Esto es mucho más grave: el spam sale de un servidor de confianza con su SPF y DKIM válidos, por lo que a menudo llega a destino. Y el servidor pierde su buena reputación (lección 5.2).

Así lo reconoce:

• En el registro del servidor ve correo saliente que usted no envió, a menudo en grandes cantidades.
• El número de mensajes enviados desde su buzón es mucho más alto de lo normal, o de repente alcanza el límite de envío.
• Su proveedor se lo notifica, o bloquea el envío.
• En su buzón hay cosas que no reconoce: una regla de redirección a una dirección desconocida, un filtro que mueve determinado correo (por ejemplo, de su banco o de su proveedor) directamente a la papelera, una dirección de respuesta distinta (Reply-To) en su configuración, o un mensaje de ausencia.

Estas reglas son un truco conocido. Un atacante que toma el control de su buzón suele querer leer el correo sin ser detectado durante un tiempo, por ejemplo para enviar en el momento oportuno una factura falsa con un número de cuenta diferente. Una regla de redirección a su propia dirección sigue funcionando, incluso después de que usted haya cambiado su contraseña.

¿Cómo consigue alguien su contraseña?

• Phishing: un correo falso con un enlace a una página de inicio de sesión imitada ("su buzón está lleno, inicie sesión aquí"). La causa más frecuente.
• Reutilización: utiliza la misma contraseña también en una tienda web o un foro, y este sufre un ataque. Las combinaciones robadas de dirección de correo y contraseña se prueban después automáticamente en servidores de correo. Con servicios como Have I Been Pwned puede comprobar si su dirección aparece en una filtración de datos conocida.
• Adivinación: las contraseñas cortas u obvias (Welkom2026!, el nombre de la empresa) se adivinan mediante fuerza bruta: miles de intentos seguidos.
• Malware en su ordenador que intercepta contraseñas o las extrae de su navegador.

Proteger bien su buzón de correo

1. Una contraseña larga y única por buzón. La longitud importa más que los caracteres raros. Una frase de contraseña de cuatro o cinco palabras sueltas es segura y fácil de recordar. No la use en ningún otro sitio.
2. Un gestor de contraseñas. Así no tiene que memorizar todas esas contraseñas y la reutilización deja de ser necesaria.
3. Verificación en dos pasos siempre que sea posible. En el correo empresarial en la nube (Microsoft 365, Google Workspace) y en el panel de cliente de su proveedor, esto suele ser posible. En un buzón IMAP normal, a menudo no es posible para IMAP y SMTP en sí, porque los programas de correo solo envían una contraseña. Algunos servicios trabajan entonces con contraseñas de aplicación: una contraseña independiente y larga por programa, que puede revocar sin cambiar su contraseña principal.
4. Sea prudente con el lugar donde inicia sesión. Introduzca su contraseña solo en su propio programa de correo o en la dirección real de su correo web. Un proveedor nunca le pedirá su contraseña por correo.
5. Conozca la seguridad de su servidor. Muchos servidores bloquean una dirección IP tras varios intentos fallidos de inicio de sesión. Esto protege contra la fuerza bruta, pero también significa que un dispositivo antiguo con una contraseña incorrecta (una tableta vieja, una impresora que escanea hacia correo) puede hacer que se bloquee toda la red de su oficina.

¿Qué hacer ante un buzón comprometido?

Haga esto de inmediato, en este orden:

1. Cambie la contraseña en el panel de su proveedor (no mediante un enlace de un correo). Elija una contraseña nueva y única.
2. Compruebe las reglas de redirección, los filtros, los alias y el mensaje de ausencia, tanto en el correo web como en el panel. Elimine todo lo que usted mismo no haya creado.
3. Revise qué dispositivos y programas se conectan e introduzca la nueva contraseña en todos ellos. Un dispositivo olvidado con la contraseña antigua puede hacer que se bloquee su IP.
4. Analice su ordenador en busca de malware, especialmente si no hizo clic en un enlace de phishing.
5. Cambie también la contraseña en otros sitios si la reutilizaba, y también la contraseña de su panel de cliente si era la misma.
6. Comuníqueselo a su proveedor. Este puede ver qué se envió, limpiar la cola de envío y levantar un bloqueo.
7. Avise a sus contactos si se les envió correo, especialmente en caso de facturas falsas. Una filtración de datos personales puede, además, requerir una notificación al organismo de protección de datos de su país conforme al RGPD; infórmese si tiene dudas.

Un buzón comprometido rara vez es un caso aislado. Compruebe también que su sitio web no esté enviando spam: un formulario de contacto sin protección o un plugin hackeado también puede enviar correo en su nombre (lección 7.3).

En la práctica: así se ve en un panel

En DirectAdmin cambia la contraseña de un buzón en Cuentas de Correo Electrónico, mediante los tres puntos y Cambiar contraseña/nombre de usuario; en la columna Enviado ve cuánto correo envió un buzón hoy. Con Seguimiento de E-Mail ve si un mensaje se envió realmente a través del servidor. Las redirecciones están en Redirecciones de Correo, los mensajes de ausencia en Autorespondedores, y en el correo web en Configuración. Otros paneles tienen funciones similares, a menudo con nombres como "rastro de mensajes", "message trace" o "reglas del buzón".

Resumen

• Rebotes sobre correo que usted no envió, sin nada en su carpeta de Enviados: suplantación. Ahí ayuda DMARC, no una contraseña nueva.
• Spam saliente real en el registro del servidor: buzón comprometido. Cambie la contraseña, compruebe reglas y redirecciones, actualice los dispositivos, informe al proveedor.
• Los atacantes suelen establecer una regla de redirección o un filtro para seguir leyendo el correo sin ser detectados.
• Use una contraseña larga y única por buzón, un gestor de contraseñas y, siempre que sea posible, verificación en dos pasos o contraseñas de aplicación.

Cuestionario

Ejercicio

Ejercicio O3.4: Comprobación de seguridad de su buzón. Revise su propio buzón de correo. ¿Es la contraseña única y larga, y está guardada en un gestor de contraseñas? Busque su dirección en un servicio de filtraciones de datos (como Have I Been Pwned) y anote si aparece en alguna filtración. Compruebe en el correo web o en el panel todas las reglas de redirección, filtros, la dirección de respuesta y el mensaje de ausencia. Anote qué dispositivos utilizan el buzón. Responda después: si mañana recibe rebotes de correo que no ha enviado, ¿cómo averigua si se trata de spoofing o de un hackeo?

Para saber más

Los pasos de estos artículos corresponden a los paneles de WebOké; en otros proveedores funciona de forma similar.

• Manual de DirectAdmin 9.6: Qué hacer si su dirección de correo electrónico ha sido utilizada de forma indebida
• Manual de DirectAdmin 7.2: Cambiar la contraseña de una dirección de correo electrónico
• Manual de DirectAdmin 9.3: Seguimiento de E-Mail: ¿dónde ha ido a parar mi correo?
• ¿Cómo cambio la contraseña o los límites de mi dirección de correo?
• Buzón comprometido o spam enviado desde su dirección: así lo soluciona
• NCSC, consejos sobre contraseñas y verificación en dos pasos (Países Bajos): https://www.ncsc.nl