Una cuenta de correo hackeada envía spam: qué hacer

Qué significa

Un atacante ha iniciado sesión en uno de tus buzones, normalmente con una contraseña robada o adivinada, y lo usa para enviar spam o phishing. Señales típicas:

• Cientos de mensajes de rebote de emails que nunca enviaste.
• Contactos que te dicen que han recibido un email raro tuyo.
• Emails desconocidos en tu carpeta de Enviados, o la carpeta de Enviados sospechosamente vacía.
• Tu proveedor bloquea tus envíos, o tu IP o tu dominio aparecen en una blacklist.

Por qué importa

Cada minuto cuenta. El spam daña la reputación de tu IP y de tu dominio, así que incluso tus emails normales van a spam. Además, el phishing enviado desde una cuenta real resulta muy convincente para tus contactos.

Cómo solucionarlo

1. Cambia la contraseña desde un dispositivo limpio, no desde el que puede estar infectado. Usa una contraseña larga y única.
2. Activa la verificación en dos pasos (2FA) con una app o una llave de seguridad.
3. Cierra todas las sesiones. Las cuentas de Google y Microsoft tienen una opción para cerrar sesión en todas partes; los administradores pueden hacerlo por los usuarios.
4. Elimina lo que haya dejado el atacante. Revisa con cuidado:
   • las direcciones de reenvío y las reglas de bandeja de entrada (los atacantes ocultan las respuestas o lo reenvían todo);
   • los accesos delegados, las contraseñas de aplicación y las apps conectadas que no reconozcas;
   • la firma y la dirección Reply-To.
5. Analiza el dispositivo que usas para el correo con un antivirus actualizado.
6. Cambia la misma contraseña en todos los demás sitios donde la usabas.
7. Desbloquea los envíos. En Microsoft 365, un usuario bloqueado por spam debe ser liberado por un administrador en el portal Microsoft Defender («Entidades restringidas»). Otros proveedores pueden pedirte que contactes con el soporte.

Si gestionas tu propio servidor de correo

• Desactiva la cuenta hackeada hasta que se cambie la contraseña.
• Mira la cola de salida y borra el spam que esté esperando en ella, para que no se envíe más tarde.
• Revisa los logs para ver qué cuenta o qué web envió el spam. Un formulario o un script de una web hackeada es otra causa frecuente.
• Limita cuántos emails puede enviar una cuenta por hora.

Repara tu reputación

1. Comprueba las blacklists para tu IP de envío y tu dominio en /blacklists.
2. Solicita la retirada en cada lista solo cuando el spam se haya detenido. Si la IP es compartida (Google, Microsoft, una herramienta de newsletters), se encarga el proveedor. En el panel de pago de Delivmail tienes ayuda para salir de las blacklists.
3. Avisa a tus contactos brevemente: diles que ignoren y borren los emails raros, sobre todo los que lleven enlaces o adjuntos.
4. Vigila tus informes DMARC durante unas semanas para detectar cualquier nuevo envío inesperado.

Prevenlo

• 2FA en todos los buzones, sobre todo en las cuentas de administrador.
• Desactiva los métodos de inicio de sesión antiguos (autenticación básica, contraseñas SMTP) que no uses.
• Enseña a tu equipo a reconocer las páginas de inicio de sesión falsas.

Comprueba que está solucionado

Los rebotes deberían parar en un día. Envía un email de prueba desde la página de inicio de Delivmail: la sección de blacklists debería estar limpia y SPF, DKIM y DMARC deberían superarse. Si queda algún listado, vuelve a comprobarlo unos días después de tu solicitud de retirada.