Nuestras notícias
Una contraseña filtrada basta: cómo entra un atacante en el correo corporativo
Una contraseña filtrada es una credencial que ha acabado en manos de terceros por una brecha, un correo de phishing o un programa espía. Si da acceso al correo corporativo y no hay un segundo factor, el atacante entra como si fuera el empleado. No rompe nada y no salta ninguna alarma.
Es una de las formas más sencillas y rentables de atacar a una empresa, y por eso también una de las más frecuentes. Te explicamos cómo lo hace un atacante paso a paso y qué señales deja. También qué hacer para que una contraseña robada no le sirva de nada.
¿Cómo acaba una contraseña en manos de un atacante?
Hay tres vías principales. La primera son las brechas de otras webs: si un empleado repite contraseña en su correo y en una tienda online que sufre un robo de datos, acaba circulando en listas. La segunda es el phishing, un correo falso que imita una pantalla de inicio de sesión.
La tercera son los programas espía que roban las contraseñas guardadas en el navegador de un equipo infectado. Con cualquiera de las tres, el atacante solo tiene que probar la combinación de usuario y contraseña. Según el informe de defensa digital de Microsoft de 2025, más del 97 % de los ataques contra identidades son ataques a contraseñas.
Cómo entra un atacante con una contraseña filtrada, paso a paso
El ataque no es un golpe rápido, sino una ocupación silenciosa que puede durar semanas. El atacante no tiene prisa: quiere conocer tu empresa desde dentro antes de actuar. Este es el recorrido habitual hasta que obtiene un beneficio, normalmente económico:
- Prueba el acceso: inicia sesión en el correo web o en Microsoft 365, muchas veces desde un país extranjero o a través de una VPN.
- Se esconde: crea reglas que mueven o borran los correos de respuesta, para que el empleado no vea nada raro.
- Observa: lee conversaciones con clientes y proveedores, aprende cómo se escribe en la empresa y detecta pagos pendientes.
- Actúa: envía una factura con un número de cuenta cambiado o pide una transferencia urgente desde una dirección real.
- Se extiende: usa el buzón para enviar phishing a otros empleados o a clientes, que confían porque el remitente es auténtico.
Este fraude tiene nombre propio: compromiso del correo empresarial, o BEC por sus siglas en inglés. El informe del FBI sobre ciberdelincuencia, publicado en abril de 2025, registró 21.442 denuncias de este tipo en 2024. Las pérdidas rozaron los 2.800 millones de dólares solo en Estados Unidos.
¿Qué señales indican que alguien ha entrado en tu correo?
Las señales suelen ser pequeñas y fáciles de pasar por alto, porque el atacante intenta no llamar la atención. Aun así, hay indicios que conviene revisar de forma periódica. Sobre todo en los buzones de dirección, administración y compras, que son los que más interesan a quien busca un pago.
| Señal | Qué puede significar |
|---|---|
| Reglas de reenvío o de borrado que nadie ha creado | El atacante oculta sus correos o se reenvía copias |
| Inicios de sesión desde otros países u horas raras | Alguien usa la contraseña desde fuera |
| Respuestas a correos que el empleado no ha enviado | Se están enviando mensajes desde el buzón |
| Clientes que preguntan por un cambio de cuenta bancaria | Hay una factura manipulada en circulación |
¿Qué hacer si sospechas de una contraseña filtrada?
Actúa rápido y en orden, porque cada hora cuenta. El objetivo es echar al atacante, cerrar las puertas que haya dejado abiertas y avisar a quien pueda verse afectado. Si solo cambias la contraseña, el atacante puede seguir dentro gracias a sus reglas o a una sesión abierta.
- Cambia la contraseña y cierra todas las sesiones abiertas de esa cuenta.
- Revisa las reglas del buzón y borra las que no haya creado el empleado.
- Activa el segundo factor en esa cuenta y en las del resto de la empresa.
- Avisa a clientes y proveedores de que no atiendan cambios de cuenta bancaria sin confirmarlos por teléfono.
- Revisa el registro de accesos para saber desde cuándo estaba dentro y qué ha visto.
Cómo evitar que una contraseña filtrada abra tu correo
La medida más eficaz es el segundo factor de autenticación. Con él, una contraseña filtrada no basta, porque el atacante también necesitaría el móvil o la llave física del empleado. Según el mismo informe de Microsoft, la autenticación multifactor resistente al phishing frena más del 99 % de estos ataques.
A eso se suman otras medidas sencillas: no repetir contraseñas y usar un gestor de contraseñas. También bloquear los inicios de sesión desde países donde no trabajas y formar al equipo para reconocer un correo falso. Te explicamos cómo lo implantamos en nuestra página sobre la autenticación multifactor para empresas.
¿Cómo puede ayudarte Apen a proteger tu correo?
En Apen revisamos los accesos a tu correo y a Microsoft 365 y buscamos reglas sospechosas. También comprobamos si las cuentas de tu equipo aparecen en filtraciones conocidas. Después activamos el segundo factor por fases, con políticas de acceso condicional, para que nadie se quede sin acceso a su trabajo.
Llevamos más de 35 años trabajando con pymes del Vallès y de Barcelona. Si crees que alguien ha entrado en tu correo, llámanos al 938 606 220. Si quieres prevenirlo, pide tu diagnóstico gratuito y te diremos qué cuentas están más expuestas.
Preguntas frecuentes
¿Cómo sé si mi contraseña se ha filtrado?
Puedes comprobarlo en servicios como Have I Been Pwned, que avisan si tu correo aparece en una brecha conocida. En una empresa conviene revisarlo para todas las cuentas de forma periódica.
¿Basta con cambiar la contraseña después de un ataque?
No. El atacante puede seguir dentro gracias a sesiones abiertas o a reglas que haya creado. Hay que cerrar las sesiones, revisar las reglas y activar el segundo factor.
¿Por qué el atacante no actúa enseguida?
Porque le interesa conocer la empresa antes. Espera a encontrar una factura o un pago importante para hacer creíble el fraude, y a veces pasan semanas.
¿El antivirus protege el correo de una contraseña filtrada?
No. El atacante entra con un usuario y una contraseña válidos, así que para el sistema es un acceso legítimo. Lo que lo frena es el segundo factor.
¿Qué es el fraude del correo empresarial?
Es un engaño en el que el atacante usa un buzón real o uno que lo imita para pedir pagos o cambiar cuentas bancarias. Se conoce como BEC, por sus siglas en inglés.
¿Hay que avisar a alguien si entran en el correo de la empresa?
Si hay datos personales afectados, el RGPD obliga a notificar a la autoridad de protección de datos en 72 horas. También conviene avisar a clientes y proveedores.
