Qué hacer si te roban la cuenta de la nube

Cuenta de la nube robada: qué hacer, en orden

Descubrir que otra persona ha entrado en la cuenta donde guardas los presupuestos, los contratos y las facturas de tus clientes produce el peor tipo de prisa. Un orden claro evita los dos errores típicos: cambiar la contraseña desde un equipo todavía infectado y olvidarse de echar al intruso de las sesiones que ya tiene abiertas. Este procedimiento completa la protección de las cuentas y archivos de tu nube; si estás en España, puedes llamar en paralelo al 017, la línea de ayuda en ciberseguridad del INCIBE, gratuita y confidencial.

Señales de que alguien ha entrado

No siempre es evidente. Apple y Dropbox enumeran indicios que sirven para cualquier servicio:

• avisos de inicios de sesión desde dispositivos o lugares que no reconoces;
• códigos de verificación que llegan sin que los hayas pedido;
• una contraseña que de repente ya no funciona;
• archivos borrados, renombrados o que no reconoces, y carpetas compartidas nuevas;
• un correo que confirma un cambio de contraseña o de dirección que no hiciste.

Cuidado con ese último caso: puede ser un correo falso que busca precisamente tu contraseña. No pulses sus enlaces; entra tú directamente en la web del servicio.

Los primeros 30 minutos

1. Usa un dispositivo de confianza. Microsoft recomienda analizar el equipo con un antivirus antes de cambiar la contraseña. Si sospechas de tu ordenador (computadora), usa otro mientras tanto.
2. Cambia la contraseña por una nueva que no uses en ningún otro sitio, como pide Dropbox. Si el correo asociado a la cuenta usaba la misma, cámbiala también: quien controla ese correo puede pedir un restablecimiento.
3. Echa al intruso. Revisa la lista de dispositivos y sesiones de la cuenta y cierra los que no reconozcas.
4. Activa la verificación en dos pasos, o revisa los métodos si ya estaba activa: el intruso puede haber añadido un teléfono o un correo de recuperación propio.
5. Si es una cuenta de empresa, avisa al administrador. En Google Workspace, Microsoft 365 o los equipos de Dropbox, es quien puede restablecer el acceso y cerrar las sesiones de forma centralizada.

Si ya no puedes entrar: las vías oficiales de recuperación

Si el intruso cambió la contraseña, cada proveedor tiene su procedimiento. Usa solo sus páginas oficiales y desconfía de quien te ofrezca recuperar la cuenta a cambio de dinero o de tus datos.

Microsoft añade una advertencia que conviene conocer antes de necesitarla: si tienes la verificación en dos pasos activada y has perdido el acceso a todos los métodos alternativos, su soporte no puede ayudarte. Los códigos de respaldo guardados en papel existen para este momento.

Después: revisar lo que ha tocado el intruso

Recuperar la cuenta es la mitad del trabajo. La otra mitad es deshacer lo que el intruso pudo dejar preparado para volver:

• Actividad y dispositivos. Google propone revisar la actividad relacionada con la seguridad y eliminar los dispositivos que no reconozcas.
• Aplicaciones conectadas. Retira el acceso a las que no uses o no reconozcas.
• Reenvíos de correo. Microsoft recomienda comprobar el reenvío, las respuestas automáticas y las cuentas conectadas, porque el intruso pudo cambiarlos.
• Datos de recuperación. Apple aconseja confirmar con tu proveedor de correo y con tu operador que controlas todas las direcciones y teléfonos asociados.
• Archivos. Busca borrados, archivos desconocidos y carpetas o enlaces compartidos nuevos; revócalos si no son tuyos.
• Otras cuentas. Cambia la contraseña en cualquier servicio donde usaras la misma.

A quién avisar

Una pequeña agencia de viajes en Montevideo y una consultora en Barcelona tienen obligaciones parecidas, pero interlocutores distintos.

• En España, el 017 del INCIBE atiende de 8:00 a 23:00 todos los días, también por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017. Si la cuenta contenía datos personales de clientes o empleados y la brecha supone un riesgo para ellos, la AEPD indica que debe notificarse en las 72 horas siguientes a que tengas constancia de ella, a través de su sede electrónica.
• En Uruguay, el CERTuy acepta reportes de incidentes también de organizaciones que no pertenecen a sectores críticos, y los delitos se denuncian ante la Dirección General de Cibercrimen de la Policía Nacional. Si hay datos personales afectados, la misma página remite a la URCDP en 72 horas.
• En otros países de América Latina, busca en el sitio oficial del gobierno el equipo nacional de respuesta a incidentes (CSIRT o CERT), la unidad de delitos informáticos de la policía y la autoridad de protección de datos, porque los canales y plazos cambian de un país a otro.

Para que no vuelva a pasar

Una cuenta recuperada sin segundo factor es una cuenta que se puede volver a perder igual. Elegir los métodos de verificación más resistentes, como las llaves de acceso, cierra la puerta a quien solo tenga tu contraseña, aunque la haya conseguido con un correo falso muy convincente.

Si el intruso ha cifrado o borrado archivos

A veces el robo de la cuenta es solo el primer paso de un ataque mayor. Si encuentras archivos cifrados o borrados en bloque, sigue el plan para devolver la nube a una fecha anterior al ataque antes de seguir trabajando con esa carpeta.