# Qué hacer si te roban la cuenta de la nube

> Los pasos, en orden, si alguien entra en tu cuenta de Google Drive, OneDrive, Dropbox o iCloud: recuperar el acceso, echar al intruso, revisar daños y avisar.

Si te roban la **cuenta de la nube**, lo urgente es recuperar el acceso desde un dispositivo limpio, cambiar la contraseña, cerrar las sesiones abiertas y activar la verificación en dos pasos; después, revisar qué ha tocado el intruso y avisar a quien corresponda. Google, Microsoft, Dropbox y Apple tienen procedimientos oficiales de recuperación, y en España la línea 017 del INCIBE ofrece ayuda gratuita y confidencial a empresas y profesionales.

**En resumen**

1. Microsoft recomienda analizar el equipo con un antivirus antes de cambiar la contraseña de una cuenta pirateada.
2. Si la verificación en dos pasos está activada y has perdido todos los métodos alternativos, Microsoft advierte de que su soporte no puede recuperar la cuenta.
3. En España, la línea 017 del INCIBE atiende de 8:00 a 23:00 todos los días, también por WhatsApp en el 900 116 117 y por Telegram.


## Cuenta de la nube robada: qué hacer, en orden

Descubrir que otra persona ha entrado en la cuenta donde guardas los presupuestos, los contratos y las facturas de tus clientes produce el peor tipo de prisa. Un orden claro evita los dos errores típicos: cambiar la contraseña desde un equipo todavía infectado y olvidarse de echar al intruso de las sesiones que ya tiene abiertas. Este procedimiento completa [la protección de las cuentas y archivos de tu nube](/guias/almacenamiento-en-la-nube/seguridad/); si estás en España, puedes llamar en paralelo al 017, la [línea de ayuda en ciberseguridad del INCIBE](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad), gratuita y confidencial.

### Señales de que alguien ha entrado

No siempre es evidente. Apple y Dropbox enumeran indicios que sirven para cualquier servicio:

- avisos de inicios de sesión desde dispositivos o lugares que no reconoces;
- códigos de verificación que llegan sin que los hayas pedido;
- una contraseña que de repente ya no funciona;
- archivos borrados, renombrados o que no reconoces, y carpetas compartidas nuevas;
- un correo que confirma un cambio de contraseña o de dirección que no hiciste.

Cuidado con ese último caso: puede ser un correo falso que busca precisamente tu contraseña. No pulses sus enlaces; entra tú directamente en la web del servicio.

### Los primeros 30 minutos

1. **Usa un dispositivo de confianza.** Microsoft recomienda analizar el equipo con un antivirus antes de cambiar la contraseña. Si sospechas de tu ordenador (computadora), usa otro mientras tanto.
2. **Cambia la contraseña** por una nueva que no uses en ningún otro sitio, como pide Dropbox. Si el correo asociado a la cuenta usaba la misma, cámbiala también: quien controla ese correo puede pedir un restablecimiento.
3. **Echa al intruso.** Revisa la lista de dispositivos y sesiones de la cuenta y cierra los que no reconozcas.
4. **Activa la verificación en dos pasos**, o revisa los métodos si ya estaba activa: el intruso puede haber añadido un teléfono o un correo de recuperación propio.
5. **Si es una cuenta de empresa**, avisa al administrador. En Google Workspace, Microsoft 365 o los equipos de Dropbox, es quien puede restablecer el acceso y cerrar las sesiones de forma centralizada.

### Si ya no puedes entrar: las vías oficiales de recuperación

Si el intruso cambió la contraseña, cada proveedor tiene su procedimiento. Usa solo sus páginas oficiales y desconfía de quien te ofrezca recuperar la cuenta a cambio de dinero o de tus datos.

| Servicio | Dónde empezar | A tener en cuenta |
|---|---|---|
| Google | `accounts.google.com/signin/recovery` | Responde a las preguntas lo mejor que puedas, según la [ayuda de Google](https://support.google.com/accounts/answer/6294825?hl=es) |
| Microsoft (cuenta personal) | La herramienta de ayuda de su página sobre [cuentas pirateadas](https://support.microsoft.com/es-es/accounts-billing/manage/how-to-recover-a-hacked-or-compromised-microsoft-account) | El formulario de recuperación responde en un máximo de 24 horas y admite dos intentos al día |
| Dropbox | Restablecer la contraseña en `dropbox.com` | Si no puedes restablecerla, contacta con el soporte de Dropbox |
| Apple | `iforgot.apple.com` | Puede haber un período de espera antes de recuperar el acceso |
| Cuenta de empresa | El administrador de tu organización | Las páginas para cuentas personales no sirven en este caso |

Microsoft añade una advertencia que conviene conocer antes de necesitarla: si tienes la verificación en dos pasos activada y has perdido el acceso a todos los métodos alternativos, su soporte no puede ayudarte. Los códigos de respaldo guardados en papel existen para este momento.

### Después: revisar lo que ha tocado el intruso

Recuperar la cuenta es la mitad del trabajo. La otra mitad es deshacer lo que el intruso pudo dejar preparado para volver:

- **Actividad y dispositivos.** Google propone revisar la actividad relacionada con la seguridad y eliminar los dispositivos que no reconozcas.
- **Aplicaciones conectadas.** Retira el acceso a las que no uses o no reconozcas.
- **Reenvíos de correo.** Microsoft recomienda comprobar el reenvío, las respuestas automáticas y las cuentas conectadas, porque el intruso pudo cambiarlos.
- **Datos de recuperación.** Apple aconseja confirmar con tu proveedor de correo y con tu operador que controlas todas las direcciones y teléfonos asociados.
- **Archivos.** Busca borrados, archivos desconocidos y carpetas o enlaces compartidos nuevos; revócalos si no son tuyos.
- **Otras cuentas.** Cambia la contraseña en cualquier servicio donde usaras la misma.

### A quién avisar

Una pequeña agencia de viajes en Montevideo y una consultora en Barcelona tienen obligaciones parecidas, pero interlocutores distintos.

- **En España**, el 017 del INCIBE atiende de 8:00 a 23:00 todos los días, también por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017. Si la cuenta contenía datos personales de clientes o empleados y la brecha supone un riesgo para ellos, la AEPD indica que debe [notificarse en las 72 horas siguientes](https://www.aepd.es/preguntas-frecuentes/2-tus-obligaciones-como-responsable-del-tratamiento/11-brechas-de-datos-personales/FAQ-0233-a-quien-hay-que-notificar-las-brechas-de-datos-personales) a que tengas constancia de ella, a través de su sede electrónica.
- **En Uruguay**, el [CERTuy acepta reportes de incidentes](https://www.gub.uy/centro-nacional-respuesta-incidentes-seguridad-informatica/comunicacion/publicaciones/reportar-incidente) también de organizaciones que no pertenecen a sectores críticos, y los delitos se denuncian ante la Dirección General de Cibercrimen de la Policía Nacional. Si hay datos personales afectados, la misma página remite a la URCDP en 72 horas.
- **En otros países de América Latina**, busca en el sitio oficial del gobierno el equipo nacional de respuesta a incidentes (CSIRT o CERT), la unidad de delitos informáticos de la policía y la autoridad de protección de datos, porque los canales y plazos cambian de un país a otro.

### Para que no vuelva a pasar

Una cuenta recuperada sin segundo factor es una cuenta que se puede volver a perder igual. Elegir [los métodos de verificación más resistentes](/guias/almacenamiento-en-la-nube/seguridad/verificacion-en-dos-pasos/), como las llaves de acceso, cierra la puerta a quien solo tenga tu contraseña, aunque la haya conseguido con un correo falso muy convincente.

### Si el intruso ha cifrado o borrado archivos

A veces el robo de la cuenta es solo el primer paso de un ataque mayor. Si encuentras archivos cifrados o borrados en bloque, sigue el plan para [devolver la nube a una fecha anterior al ataque](/guias/almacenamiento-en-la-nube/seguridad/ransomware/) antes de seguir trabajando con esa carpeta.