Acceso no autorizado a una cuenta empresarial: cómo ordenar el incidente

Ante un posible acceso no autorizado a una cuenta empresarial, coordina la contención y conserva una cronología de hechos comprobados.

La orientación oficial para responder a ciberincidentes recomienda registrar lo ocurrido y activar apoyo especializado. Un aviso de inicio de sesión extraño puede requerir investigación; no demuestra por sí solo qué información se consultó o extrajo.

Avisa a quien administra el sistema

Indica cuenta afectada, momento de detección y señales observadas. Explica si hubo mensajes enviados, cambios de contraseña, permisos nuevos o reglas de correo desconocidas. Utiliza un canal que no dependa de la cuenta posiblemente comprometida.

Evita improvisar borrados masivos o restauraciones antes de que el responsable técnico valore su efecto sobre las pruebas y la continuidad. La prioridad es detener el acceso de forma controlada y conservar los registros relevantes.

Delimita el alcance

Revisa con el equipo técnico sesiones, aplicaciones autorizadas, reenvíos y acciones disponibles en los registros. Distingue acceso confirmado, actividad sospechosa y ausencia de evidencia. Que no aparezca una descarga en un registro limitado no acredita necesariamente que no hubo exposición.

Identifica servicios conectados y personas que deban cambiar su forma de trabajar durante la respuesta. No compartas contraseñas o exportaciones completas del buzón en conversaciones abiertas para pedir ayuda.

Valora los efectos jurídicos

Si puede haber datos personales afectados, los artículos 33 y 34 del RGPD requieren una evaluación específica de las obligaciones aplicables. La recuperación de la contraseña no cierra por sí sola esa valoración.

Documenta medidas, responsables y resultados de las comprobaciones. Si hubo pagos o instrucciones falsas, contacta con las entidades pertinentes sin demora. El informe final debe indicar qué se confirmó, qué no pudo verificarse y qué controles se ajustaron. Evita comunicar «todo está seguro» basándote únicamente en que la cuenta vuelve a funcionar.