Credenciales filtradas: qué hacer cuando aparece tu dominio

Un día llega un aviso: direcciones de correo de tu empresa aparecen en una base de datos filtrada. Lo más habitual es que no procedan de un ataque a tus sistemas, sino de otro servicio donde alguien usó su correo de trabajo para registrarse. El problema empieza si además reutilizó la misma contraseña.

Respira: lo que probablemente ha pasado

La primera reacción ante un aviso así suele ser pensar que han atacado a la empresa. Casi nunca es el caso. Lo habitual es que una tienda en línea, un foro profesional o una plataforma de formación haya sufrido una brecha y que entre sus usuarios haya personas registradas con su correo de trabajo.

Imagina a alguien de tu equipo que se apuntó hace años a un curso en línea con su dirección de la empresa. Si eligió una contraseña distinta a la de Microsoft 365, el daño es limitado. Si usó la misma, cualquiera que tenga esa lista puede intentar entrar en su correo corporativo. Ahí está el riesgo real.

Ponerle nombre y fecha a la filtración

No todas las filtraciones son iguales, y conviene saber a qué te enfrentas antes de actuar:

• Solo direcciones de correo: no dan acceso, pero sirven para enviar phishing dirigido. Toca reforzar la atención de esas personas.
• Direcciones con contraseñas, aunque estén cifradas: aquí el riesgo es directo, sobre todo si hubo reutilización.

También importa de qué servicio procede, de qué fecha es y qué cuentas concretas aparecen. Una filtración de hace muchos años con personas que ya no trabajan en la empresa no tiene la misma urgencia que una reciente con cuentas activas. Servicios públicos como Have I Been Pwned permiten consultar un dominio completo, previa verificación de que es tuyo.

Una contraseña filtrada solo es grave si todavía abre alguna puerta.

La secuencia de respuesta

Con la lista de cuentas afectadas en la mano, el orden importa:

1. Cambiar la contraseña de cada cuenta afectada, y explicar a esas personas por qué y que no la reutilicen en ningún otro sitio.
2. Cerrar las sesiones abiertas de esas cuentas en Microsoft 365. Cambiar la contraseña no expulsa automáticamente a quien ya hubiera entrado; cerrar sesiones sí.
3. Revisar los inicios de sesión de las últimas semanas: países inusuales, horas raras o aplicaciones desconocidas.
4. Mirar las reglas del buzón que reenvíen o borren correos. Es lo primero que crea un atacante para pasar desapercibido: una regla que manda a otra dirección todo lo que contenga «factura» o que elimina los avisos de seguridad.
5. Comprobar que el doble factor está activo en todas ellas. Si lo está, una contraseña filtrada pierde casi todo su valor.

Cuando la revisión encuentra huellas

Si en los inicios de sesión o en el buzón aparecen señales de que alguien ha entrado, la situación cambia. Ya no es una filtración externa, sino un incidente de seguridad en tu empresa, y hay que tratarlo como tal:

• Acotar el alcance: qué se ha visto, descargado o enviado desde esa cuenta y durante cuánto tiempo.
• Avisar a quien corresponda: clientes o proveedores que pudieran recibir correos fraudulentos desde esa dirección, como cambios de cuenta bancaria que nunca pediste.
• Valorar la notificación: si hay datos personales afectados, puede existir obligación de comunicarlo según la normativa de protección de datos.

También conviene guardar registro de lo que se ha encontrado y de lo que se ha hecho, con fechas. Si más adelante hay que explicar el incidente a un cliente, a una aseguradora o a la autoridad de protección de datos, esa cronología será imprescindible. Actuar rápido aquí marca la diferencia entre un susto y un problema con terceros.

Que la próxima filtración sea solo un aviso

Las filtraciones de servicios externos seguirán ocurriendo; no dependen de ti. Lo que sí depende de ti es cuánto daño pueden hacer. Unas pocas medidas reducen mucho su impacto:

• Doble factor para todas las cuentas, sin excepciones.
• Acceso condicional, que permite bloquear inicios de sesión desde ubicaciones o dispositivos que no encajan.
• Un gestor de contraseñas en la empresa, para que cada servicio tenga una contraseña distinta sin que nadie tenga que memorizarlas.
• Vigilancia periódica del dominio, para enterarte por un aviso programado y no por casualidad.

En OLATIC podemos hacer esa revisión contigo el mismo día del aviso: cambio de contraseñas, cierre de sesiones, análisis de inicios de sesión y reglas de buzón. Después dejamos configurada la vigilancia del dominio y el doble factor para que, cuando llegue la siguiente filtración, sea solo una notificación más y no un incidente.