Te han hackeado el correo: cómo saberlo y qué hacer

El correo electrónico es la llave maestra de tu vida digital: desde él se restablecen las contraseñas de todo lo demás. Por eso es el objetivo favorito, y por eso un correo comprometido es mucho más grave que una red social robada.

Las señales

Rara vez hay un cartel que lo anuncie. Lo que ves es esto:

Correos en "Enviados" que tú no escribiste, o contactos que te dicen que les ha llegado algo raro de tu parte.
Avisos de restablecimiento de contraseña de servicios que tú no has pedido.
Reglas o filtros nuevos que no creaste. Es la señal más seria: los atacantes crean filtros que borran o reenvían automáticamente los correos del banco para que no veas las alertas.
Un reenvío automático activado hacia una dirección desconocida.
Correos leídos que deberían estar sin leer.
Avisos de inicio de sesión desde otro país o dispositivo.
Tu dirección aparece en una filtración. No significa que hayan entrado, pero sí que tu contraseña puede estar circulando.

Qué hacer, por orden

El orden importa. Si cambias la contraseña sin cerrar sesiones, el atacante sigue dentro.

1. Comprueba si aún tienes acceso. Si puedes entrar, sigue. Si no, usa el formulario de recuperación de tu proveedor desde un dispositivo que hayas usado antes con esa cuenta: aumenta mucho las probabilidades de éxito.

2. Cambia la contraseña. Nueva, larga y que no uses en ningún otro sitio.

3. Cierra todas las sesiones abiertas. Este es el paso que casi todo el mundo se salta. En Gmail está abajo del todo de la bandeja, en "Detalles" → cerrar todas las demás sesiones. En Outlook, en la configuración de seguridad de la cuenta Microsoft.

4. Revisa los filtros y el reenvío automático. Borra cualquier regla que no reconozcas. Esto es lo que deja al atacante dentro aunque hayas cambiado la contraseña.

5. Revisa las aplicaciones conectadas. Quita el acceso a cualquier aplicación de terceros que no uses o no reconozcas.

6. Comprueba los datos de recuperación. Teléfono y correo alternativo. Si los han cambiado por los suyos, pueden volver a entrar cuando quieran.

7. Activa la verificación en dos pasos. Si no la tenías, este es el momento. Es lo que convierte una contraseña robada en un intento fallido. Lo tienes explicado en contraseñas seguras y verificación en dos pasos.

8. Cambia las contraseñas de lo importante. Banco, redes y cualquier sitio donde repitieras esa contraseña. Si han estado dentro, han podido pedir restablecimientos.

9. Avisa a tus contactos. Habrán recibido correos tuyos con enlaces maliciosos.

Cómo entraron

Entenderlo evita la repetición. Casi siempre es una de estas cuatro:

Contraseña reutilizada. Es la número uno con diferencia. Una web cualquiera sufre una filtración, y como usabas la misma contraseña en el correo, los atacantes la prueban ahí. No hace falta que te "hackeen" a ti: basta con que hackeen a cualquiera que tuviera tus datos.

Phishing. Metiste la contraseña en una web que imitaba la de tu proveedor. Las señales están en cómo reconocer un correo falso.

Contraseña débil o adivinable. Nombre, fecha, equipo de fútbol.

Dispositivo infectado. Menos frecuente, pero si hay un programa espía en el ordenador, cambiar la contraseña desde ese mismo equipo no sirve de nada. Si lo sospechas, pasa un antivirus y haz los cambios desde otro dispositivo.

Las tres cosas que lo impiden

Si solo haces tres, que sean estas:

Verificación en dos pasos en el correo. No es opcional. Es la medida que más protege y la que menos gente activa.
Una contraseña única para el correo. Aunque repitas en otros sitios (que no deberías), la del correo tiene que ser exclusiva.
Un gestor de contraseñas. Resuelve lo anterior sin esfuerzo y, de propina, no rellena tus datos en webs falsas.

Añade una cuarta si puedes: guarda los códigos de recuperación en papel o en el gestor. Son lo que te salva el día que pierdes el móvil.

Si no consigues recuperarla

Pasa, sobre todo si cambiaron el teléfono y el correo de recuperación. Entonces:

Insiste con el formulario de recuperación desde un dispositivo y una red habituales.
Si tienes cuentas importantes asociadas, cámbiales el correo de contacto cuanto antes a una dirección nueva.
Si hubo fraude económico, denuncia: Policía Nacional o Guardia Civil.
El 017 de INCIBE orienta gratis sobre los pasos.
Crea una cuenta nueva con la verificación en dos pasos activada desde el minuto uno y ve migrando los servicios importantes.

En resumen

La señal más grave son los filtros o reenvíos que tú no creaste: dejan al atacante dentro.
Orden correcto: contraseña, cerrar sesiones, filtros, apps conectadas, datos de recuperación.
La causa número uno es reutilizar contraseñas, no un ataque dirigido contra ti.
Verificación en dos pasos y contraseña única en el correo: con eso evitas casi todo.
Si sospechas de un dispositivo infectado, haz los cambios desde otro equipo.