Alguien está en tu correo. Este es el orden para echarlo.

Casi todos los consejos sobre un correo hackeado se quedan en «cambia la contraseña», y esa es justo la parte que falla. Cambiar la contraseña no siempre cierra una sesión que ya está abierta, y no hace absolutamente nada contra la regla de reenvío, el filtro o la aplicación conectada que alguien haya podido añadir mientras estaba dentro. Todo eso sigue funcionando después, en silencio, y por eso hay gente a la que vuelven a entrar una semana más tarde y cree que ha tenido mala suerte.

Hazlo en este orden. El orden importa más que la prisa.

Por qué el correo va antes que el banco

Cuando hay dinero de por medio el instinto es ir directo al banco, y ese instinto le cuesta a la gente perder la cuenta dos veces. Todas esas cuentas tienen un enlace de «he olvidado mi contraseña», y ese enlace manda el restablecimiento a tu correo. Si alguien sigue teniendo el buzón, puede pedir un restablecimiento de cualquier cosa asociada a esa dirección, recibir el enlace y volver a dejarte fuera minutos después de que hayas terminado.

El correo es la llave maestra. Asegúralo primero, aunque parezca menos urgente, y así el resto del trabajo se queda hecho.

Una excepción: si ves dinero moviéndose ahora mismo, llama al teléfono de fraude del banco mientras haces lo demás. Denunciar una transferencia fraudulenta depende del tiempo de una forma en que la limpieza de la cuenta no.

Paso 1: recupera el acceso y echa a todo el mundo

Cambia la contraseña desde un dispositivo de confianza, y que la nueva sea única de esta cuenta. Reutilizar la contraseña de otra web es el origen de buena parte de estos casos, porque una filtración en otro sitio se convierte aquí en una llave que funciona. Si guardas las contraseñas en la cabeza, esta es la cuenta para hacer la excepción: un gestor de contraseñas permite que la del correo sea larga e imposible de adivinar sin que tengas que recordarla.

Después busca la opción que cierra el resto de sesiones. Cada proveedor la llama de una forma: Cerrar todas las sesiones, Cerrar sesión en todos los dispositivos, o una lista de dispositivos donde los vas revocando. Hazlo después de cambiar la contraseña, para que no vuelvan a entrar directamente.

Si no consigues entrar de ninguna manera, para y usa el formulario de recuperación del proveedor en vez de la pantalla de acceso. Rellénalo desde un dispositivo y una red que ya hayas usado con esa cuenta, porque esa coherencia es una de las señales que el proveedor valora. Contesta de memoria aunque las respuestas sean aproximadas: una fecha de creación más o menos acertada ayuda más que un campo en blanco.

Paso 2: los ajustes que nadie mira

Esta es la parte que separa una recuperación limpia de una repetición. Alguien con unos minutos en tu buzón suele dejarse una vía de vuelta, y nada de eso lo deshace un cambio de contraseña. Repásalo todo:

Ya que estás, mira la carpeta de enviados y la papelera. Lo que salió de tu dirección te dice qué recibieron tus contactos, y en la papelera suelen estar los avisos que borraron para que no te enteraras.

Paso 3: activa la verificación en dos pasos como toca

Con el buzón otra vez tuyo, añade un segundo factor para que una contraseña robada no baste la próxima vez. Si puedes elegir, mejor una aplicación de autenticación o una llave de seguridad que los códigos por SMS. El SMS es muchísimo mejor que nada, y a la vez es la más débil de las opciones, porque un SIM swapping lleva tu número al teléfono de otro y los códigos se van detrás.

Guarda los códigos de recuperación en un sitio que no sea el buzón que protegen. Impresos y en un cajón es perfectamente razonable.

Paso 4: hacia fuera

Ahora las cuentas que se recuperan por esa dirección, empezando por las más expuestas:

1. Banca y pagos, más cualquier sitio con una tarjeta guardada.
2. La otra cuenta grande con la que inicias sesión en cosas, normalmente una de Google o un Apple ID.
3. Tiendas online con dirección y tarjeta en el perfil.
4. Redes y mensajería, donde el daño lo hace la suplantación más que el robo.

En cada una: contraseña nueva y única, cerrar todas las sesiones, y comprobar que el correo y el teléfono del perfil siguen siendo los tuyos. Esa última comprobación es la que caza la versión silenciosa de este ataque, en la que todavía no han robado nada y simplemente han apuntado la cuenta a otro sitio para más adelante.

Paso 5: avisa a tus contactos, en corto

Manda un mensaje breve por otro canal: cualquier cosa rara que haya salido de tu dirección estos días no eras tú, y que no le hagan caso. Quien tuvo acceso puede haber escrito a la gente que más se fía de ti, que es justo por lo que funciona. No hace falta ni detalle ni disculpa, solo el aviso.

Si algún contacto ya ha pagado o ha pulsado algo, indícale dónde denunciarlo y dile que se dé prisa. La ventana para parar una transferencia es corta.

Por dónde entraron, para que no se repita

Casi siempre una de cuatro:

• Una contraseña reutilizada expuesta en la filtración de otro sitio. La vía más común con diferencia, y la que cierra un gestor de contraseñas.
• Una página de phishing que imitaba la pantalla de acceso. Si llegaste ahí desde un «aviso de seguridad», compáralo con cómo es uno de verdad.
• Un aviso aprobado sin querer. Notificaciones de doble factor que llegan una y otra vez hasta que alguien acepta para que paren. Si no lo has iniciado tú, deniégalo.
• Un dispositivo o una aplicación antigua que sigue con la sesión abierta y ya no controlas.

Saber cuál de las cuatro fue decide qué arreglas. Si la respuesta es una contraseña reutilizada, cambiar esta y dejar las demás es un apaño temporal.

Preguntas frecuentes