Cuando un cliente llama para cobrar una factura que tú ya pagaste, la primera explicación puede ser “hubo un error”. La segunda, que alguien cambió los datos bancarios por correo.
Si además detectas accesos extraños en tu cuenta corporativa, no te quedes mirando la bandeja. El fraude puede estar funcionando mediante reglas de buzón que ocultan mensajes y recortan la conversación.
Actúa rápido, pero sin destruir la evidencia.
Primero: detén nuevas instrucciones de pago
Antes de realizar otra transferencia, verifica por un canal independiente cualquier cambio de cuenta bancaria.
No respondas al correo que solicitó el cambio. No uses el teléfono incluido en ese mismo mensaje. Comunícate con el proveedor por un número que ya conocías o mediante un canal oficial previamente validado.
También contacta a tu banco y conserva:
Para cada transferencia conserva identificador, fecha, hora, cuenta beneficiaria y comprobante, y relaciónalos con el folio de reclamación y las comunicaciones que la precedieron. No basta saber que un cliente pagó: necesitas establecer qué instrucción recibió, de qué cuenta salió, qué cambio de beneficiario se le pidió y qué registros bancarios existen.
Reúne esos elementos en una cronología común para empresa y clientes. Una llamada puede confirmar que el correo provenía de tu dominio, pero los registros del buzón pueden mostrar una regla de reenvío creada minutos antes. Sin comparar ambas fuentes, la explicación queda reducida a una versión comercial cuando el incidente también es técnico y financiero.
En un caso real de correo corporativo comprometido, los pagos no se desviaban porque el atacante escribiera desde una dirección visiblemente extraña. Había creado reglas dentro del buzón para ocultar mensajes relacionados con determinados clientes y operaciones. El usuario seguía trabajando con normalidad, pero veía una conversación incompleta mientras el fraude avanzaba en otra parte de la misma cuenta.
Las reglas fueron una pieza central porque explicaban tanto la persistencia del engaño como la razón por la que ciertos avisos no aparecían donde debían. Revisarlas a tiempo importa: algunos registros y configuraciones pueden perderse cuando vence su retención o cuando alguien limpia la cuenta sin preservar primero.
Ante un desvío, el banco y los clientes deben recibir el aviso por canales independientes, mientras se conservan accesos, filtros, sesiones y mensajes. No borres una regla solo porque parezca maliciosa ni cambies toda la infraestructura antes de documentarla. El abogado necesita esa secuencia para las reclamaciones; el análisis técnico determina qué ocurrió en el buzón, sin asumir que todo correo auténtico contiene instrucciones auténticas.
El banco debe recibir los identificadores pronto, mientras la empresa avisa a otros clientes por un canal independiente. La reclamación y la preservación avanzan juntas: no esperes a recuperar todo el buzón para evitar nuevas salidas, pero tampoco borres reglas, sesiones o mensajes que expliquen la entrada y el desvío.
La rapidez importa. La improvisación no ayuda.
No reenvíes el correo sospechoso
Reenviarlo multiplica el riesgo de que otras personas abran enlaces o archivos adjuntos.
Preserva el mensaje original en su formato nativo, con encabezados completos. Documenta:
- Dirección real de envío.
- Nombre visible del remitente.
- Dominio.
- Fecha y zona horaria.
- Servidores por los que pasó.
- Archivos adjuntos.
- Enlaces.
- Cambios en datos bancarios.
Un remitente que muestra el nombre de tu proveedor no demuestra que el correo salió de su cuenta.
Revisa las reglas de buzón antes de borrarlas
Un atacante puede crear filtros para ocultar correos que contengan nombres, dominios o palabras relacionadas con pagos.
Busca reglas que:
- Eliminen mensajes.
- Los envíen a carpetas ocultas.
- Los marquen como leídos.
- Los reenvíen a otra cuenta.
- Impidan ver respuestas del proveedor real.
- Oculten alertas de seguridad.
Documenta cada regla antes de eliminarla. Si la borras primero, puedes perder una de las piezas más claras del fraude.
Revisa accesos y sesiones
Desde un dispositivo limpio:
- Cambia la contraseña.
- Revoca sesiones activas.
- Renueva tokens y contraseñas de aplicaciones.
- Activa o refuerza el segundo factor.
- Revisa alias.
- Revisa permisos delegados.
- Revisa aplicaciones conectadas.
- Comprueba reenvíos automáticos.
- Revisa inicios de sesión y direcciones de red.
No te limites a la cuenta principal de finanzas. Si el atacante obtuvo acceso administrativo, puede haber creado otras puertas.
No asumas que una dirección IP identifica a una persona o a un país
Los registros pueden mostrar accesos desde redes extranjeras, proveedores de VPN o infraestructura utilizada por el atacante.
Una IP es una pista de conexión, no una identificación humana. La conclusión debe ser “hubo actividad desde esta dirección en estas fechas”, no “el responsable fue esta persona en este país”.
Lo que importa inicialmente es reconstruir qué ocurrió en la cuenta: reglas creadas, cambios de configuración, mensajes ocultados y permisos modificados.
Preserva los registros de auditoría
Las plataformas de correo pueden conservar eventos por tiempo limitado. Exporta cuanto antes:
- Inicios de sesión.
- Direcciones de red.
- Cambios de contraseña.
- Creación y edición de reglas.
- Permisos delegados.
- Mensajes movidos o eliminados.
- Altas y bajas de usuarios.
- Aplicaciones autorizadas.
- Eventos de MFA.
Trabaja con copias completas y documenta quién las obtuvo. Una captura parcial puede dejar fuera justo el evento que explica el fraude.
Qué hacer con clientes y proveedores
La comunicación debe ser precisa, no impulsiva.
Explica qué ocurrió, qué datos fueron comprometidos y qué canal seguro utilizarán a partir de ese momento. No compartas públicamente nombres de cuentas atacadas, registros completos ni información que facilite otro fraude.
También revisa si los correos de tus clientes contienen instrucciones falsas enviadas desde tu propia cuenta. El compromiso puede afectar a ambos lados de la conversación.
La contención también ocurre fuera del buzón
Un compromiso de correo empresarial o fraude por cuenta de cobro puede continuar con clientes aunque la contraseña ya haya cambiado. Hay que avisar por canales independientes, revisar beneficiarios y solicitar al banco la revisión de operaciones. Dentro del correo importan reglas, reenvíos, sesiones y delegados; para el abogado importa conservar qué instrucciones recibió cada cliente. No se publican indicadores que permitan al atacante adaptarse ni se enseña una metodología ofensiva.
