Tu contraseña deja de funcionar.
Recibes un aviso de inicio de sesión que no reconoces.
Descubres mensajes enviados desde tu cuenta que nunca escribiste.
O consigues entrar y notas que alguien cambió el correo de recuperación, agregó un dispositivo o modificó otras opciones de seguridad.
En ese momento, cambiar la contraseña es importante.
Pero puede no ser suficiente.
Una persona que ya consiguió entrar podría haber dejado sesiones abiertas, agregado métodos de recuperación, conectado aplicaciones, configurado reenvíos de correo o realizado otros cambios para conservar el acceso.
Por eso recuperar una cuenta comprometida requiere dos objetivos diferentes:
- recuperar el control;
- eliminar las vías que podrían permitir al atacante volver a entrar.
En esta guía veremos cómo hacerlo paso a paso.
Primero: ¿tu cuenta realmente fue hackeada?
No todo aviso extraño significa necesariamente que alguien consiguió entrar.
Podrías estar viendo:
- un intento de inicio de sesión bloqueado;
- una alerta provocada por tu propio dispositivo;
- una ubicación aproximada incorrecta;
- un mensaje de phishing que finge ser una alerta de seguridad.
Por eso conviene comprobar la actividad desde la aplicación o sitio oficial del servicio.
No utilices el enlace incluido en un correo sospechoso para verificar si el correo es auténtico.
Señales de que otra persona sí pudo entrar
Algunas señales tienen mayor peso:
- la contraseña fue cambiada sin tu autorización;
- aparecen dispositivos que no reconoces;
- cambiaron teléfono o correo de recuperación;
- se enviaron mensajes que no escribiste;
- desaparecieron correos o archivos;
- aparecen compras o acciones que no realizaste;
- recibes códigos de autenticación que no solicitaste;
- ya no puedes acceder a la cuenta.
Google y Apple incluyen este tipo de actividad entre las principales señales de una cuenta comprometida.
Si todavía puedes entrar, actúa antes de cerrar la sesión
Si todavía tienes acceso legítimo, aprovecha esa sesión para revisar la seguridad.
Pero hazlo desde un dispositivo que consideres confiable.
Si sospechas que tu computadora contiene malware, utilizarla para cambiar la contraseña podría exponer también la nueva credencial.
Microsoft recomienda revisar primero el dispositivo en busca de malware cuando existe sospecha de compromiso.
Paso 1: cambia la contraseña
Si sabes o sospechas que alguien tiene acceso, cambia la contraseña cuanto antes desde el servicio oficial.
La nueva contraseña debe ser:
- única;
- distinta de la anterior;
- distinta de las utilizadas en otras cuentas;
- lo suficientemente larga.
Si utilizabas esa misma contraseña en otros servicios, debes considerar esas cuentas expuestas también.
No cambies simplemente un carácter
Pasar de una contraseña como:
Ejemplo2025!
a:
Ejemplo2026!
no es una buena estrategia después de un compromiso.
Utiliza una contraseña completamente nueva y no relacionada.
Un gestor de contraseñas puede ayudarte a generar y almacenar credenciales únicas.
Paso 2: cierra las sesiones que no reconozcas
Cambiar la contraseña no siempre significa que todas las sesiones existentes desaparecerán instantáneamente en todos los servicios.
Busca opciones como:
- dispositivos;
- sesiones;
- actividad reciente;
- dónde iniciaste sesión;
- dispositivos de confianza.
Elimina o cierra el acceso de cualquier dispositivo que no reconozcas.
Si el servicio ofrece una opción para cerrar todas las demás sesiones, puede ser apropiada después de un compromiso.
Paso 3: revisa los métodos de recuperación
Este es uno de los pasos más importantes.
Comprueba:
- correo de recuperación;
- teléfono de recuperación;
- dispositivos de confianza;
- llaves de seguridad;
- métodos MFA;
- códigos o mecanismos de recuperación.
Elimina cualquier elemento que no hayas agregado tú.
Si el atacante añadió su propio número o correo, podría intentar recuperar nuevamente la cuenta incluso después de que cambies la contraseña.
Paso 4: revisa la autenticación en dos pasos
No asumas que MFA sigue configurado exactamente como lo dejaste.
Comprueba qué factores están registrados.
Podrían incluir:
- SMS;
- aplicaciones autenticadoras;
- passkeys;
- llaves de seguridad;
- dispositivos confiables.
Elimina factores desconocidos.
Cuando el servicio lo permita, utiliza métodos resistentes al phishing como passkeys o FIDO/WebAuthn.
Consulta nuestra guía sobre 2FA, MFA y passkeys para entender las diferencias.
Paso 5: revisa aplicaciones conectadas
Una cuenta puede dar acceso a aplicaciones y servicios externos mediante permisos o autorizaciones.
Por ejemplo, una aplicación puede tener permiso para:
- ver información del perfil;
- acceder a determinados archivos;
- leer información;
- actuar en nombre de la cuenta.
Revisa las aplicaciones conectadas y elimina las que no reconozcas o ya no utilices.
Esto es importante porque cambiar una contraseña no siempre implica automáticamente revocar todas las autorizaciones concedidas a terceros.
Si hackearon tu correo electrónico, revisa mucho más que la contraseña
El correo electrónico es especialmente sensible porque suele funcionar como centro de recuperación para otras cuentas.
Un atacante puede intentar mantener acceso indirecto aunque ya no conozca tu contraseña.
Revisa el reenvío automático
En servicios como Gmail, un usuario puede configurar mensajes para que se reenvíen automáticamente a otra dirección.
Eso significa que un atacante podría continuar recibiendo copias de correos incluso después de que recuperes la cuenta.
Comprueba que no exista ninguna dirección de reenvío que no reconozcas.
Revisa los filtros de correo
Los filtros pueden utilizarse para:
- reenviar determinados mensajes;
- borrar alertas;
- archivar correos;
- ocultar mensajes específicos.
Google recomienda revisar específicamente filtros que reenvían o eliminan mensajes después de un posible compromiso de Gmail.
Revisa delegación y acceso de terceros
En Gmail, por ejemplo, existe una función que permite conceder acceso a otra persona.
Comprueba que no haya delegados desconocidos.
También revisa:
- “Enviar correo como”;
- otras cuentas conectadas;
- POP;
- IMAP;
- respuesta automática;
- firma.
Una firma o respuesta automática modificada también puede utilizarse para enviar enlaces fraudulentos a tus contactos.
Revisa la carpeta de enviados
Busca mensajes que no hayas escrito.
El atacante podría haber utilizado tu cuenta para:
- pedir dinero;
- enviar phishing;
- solicitar información;
- distribuir archivos maliciosos;
- engañar a tus contactos.
Si ocurrió, avisa a las personas afectadas utilizando otro canal confiable cuando sea necesario.
Revisa también la papelera y los mensajes archivados
Un atacante puede borrar:
- alertas de inicio de sesión;
- mensajes de recuperación;
- avisos financieros;
- confirmaciones de cambios.
Que no veas una alerta en la bandeja principal no significa que nunca haya llegado.
Paso 6: revisa la actividad reciente
Los principales proveedores permiten consultar información sobre actividad de seguridad.
Busca:
- dispositivos;
- fechas;
- ubicaciones aproximadas;
- cambios de contraseña;
- cambios de recuperación;
- inicios de sesión.
Una ubicación por sí sola no siempre es concluyente.
Las redes móviles, VPN y proveedores de Internet pueden hacer que una ubicación aparente estar lejos de donde realmente estabas.
Evalúa la información en conjunto.
Paso 7: identifica cómo entraron
Después de contener la cuenta, intenta determinar la causa.
Las posibilidades incluyen:
- phishing;
- contraseña reutilizada;
- contraseña filtrada;
- malware;
- SIM swapping;
- sesión robada;
- dispositivo perdido;
- aplicación maliciosa o comprometida.
Si no corriges la causa, podrías recuperar la cuenta y volver a perderla.
Si reutilizabas la contraseña, actúa en las demás cuentas
Una contraseña comprometida puede utilizarse automáticamente contra otros servicios.
Prioriza especialmente:
- correo;
- banca;
- cuentas Apple, Google o Microsoft;
- gestor de contraseñas;
- redes sociales;
- servicios laborales.
No esperes a que aparezca una alerta en cada una.
Si sospechas phishing
Piensa si recientemente:
- introdujiste la contraseña después de pulsar un enlace;
- aprobaste una solicitud MFA que no iniciaste;
- descargaste un archivo sospechoso;
- entregaste un código de verificación;
- permitiste acceso remoto a tu dispositivo.
Consulta nuestra guía sobre cómo reconocer phishing y mensajes falsos.
Si sospechas SIM swapping
Si además de perder la cuenta tu teléfono dejó repentinamente de recibir llamadas y SMS, contacta a tu operador.
Podría existir un intento de apropiarse de tu número.
En nuestra guía sobre SIM swapping explicamos cómo responder.
Si sospechas malware
No cambies repetidamente las contraseñas desde un dispositivo que podría estar comprometido sin investigar antes el problema.
Actualiza el sistema y las herramientas de seguridad y realiza los análisis apropiados.
Microsoft recomienda limpiar un equipo potencialmente infectado antes de cambiar la contraseña de una cuenta comprometida.
Paso 8: revisa información financiera
Si la cuenta comprometida contenía:
- tarjetas;
- datos bancarios;
- historial de compras;
- documentos financieros;
- facturas;
comprueba si hubo actividad no autorizada.
Si encuentras operaciones que no reconoces, contacta directamente a la institución correspondiente mediante sus canales oficiales.
Paso 9: revisa la información personal expuesta
Una cuenta comprometida puede contener datos útiles para futuros ataques:
- dirección;
- teléfono;
- documentos;
- contactos;
- fotografías;
- información laboral;
- conversaciones.
La recuperación de la contraseña no vuelve secretos esos datos si el atacante ya tuvo acceso a ellos.
Considera qué información pudo ver y qué ataques posteriores podría facilitar.
Si no puedes iniciar sesión
Utiliza exclusivamente el procedimiento oficial de recuperación del proveedor.
No busques en redes sociales a supuestos “hackers” que prometen recuperar cuentas.
No pagues a desconocidos que afirmen poder saltarse los mecanismos del proveedor.
Los servicios legítimos utilizan sus propios procesos de recuperación de identidad.
Recuperar una cuenta de Google
Google recomienda utilizar su procedimiento de recuperación cuando:
- alguien cambió la contraseña;
- cambiaron la información de recuperación;
- la cuenta fue eliminada;
- ya no puedes iniciar sesión.
Google también recomienda realizar posteriormente un Security Checkup y revisar actividad y dispositivos.
Cuando completes una recuperación, hacerlo desde un dispositivo, navegador y ubicación que hayas utilizado habitualmente puede ayudar al sistema a reconocer el contexto.
Recuperar una cuenta de Apple
Apple dispone de procedimientos específicos cuando la contraseña ya no funciona o no puedes iniciar sesión.
Después de recuperar la cuenta, Apple recomienda revisar los dispositivos asociados y comprobar que teléfonos, correos y demás información de seguridad continúan bajo tu control.
Recuperar una cuenta de Microsoft
Microsoft ofrece un asistente de inicio de sesión y, en determinados casos, un formulario de recuperación.
Tras recuperar la cuenta, Microsoft recomienda revisar configuraciones como:
- cuentas conectadas;
- reenvíos;
- respuestas automáticas.
No confíes en supuestos agentes de soporte que te llaman
Un compromiso de cuenta también puede utilizarse como pretexto para una segunda estafa.
Un delincuente puede llamarte y afirmar que trabaja para la empresa responsable de tu correo o cuenta.
No entregues:
- contraseñas;
- códigos de verificación;
- códigos de recuperación;
- aprobaciones MFA.
Si necesitas soporte, inicia tú el contacto desde el sitio o aplicación oficial.
¿Debes avisar a tus contactos?
Sí, cuando el atacante utilizó la cuenta para comunicarse con ellos o existe una posibilidad razonable de que lo hiciera.
El aviso puede ser simple:
“Mi cuenta fue comprometida. No abras enlaces ni respondas a solicitudes recientes que parezcan venir de mí hasta que te confirme que son legítimas.”
No necesitas explicar públicamente todos los detalles del incidente.
¿Debes crear una cuenta nueva?
No necesariamente.
En muchos casos una cuenta recuperada correctamente puede continuar utilizándose.
Crear una nueva puede ser apropiado cuando:
- no puedes recuperar la anterior;
- la cuenta tenía una exposición especialmente grave;
- existen razones profesionales o de seguridad para separar identidades;
- el proveedor recomienda una migración.
Pero migrar correo, cuentas vinculadas y contactos también tiene costos y riesgos.
Qué hacer después de recuperar el control
No cierres el incidente inmediatamente.
Durante los siguientes días revisa:
- alertas de seguridad;
- intentos de recuperación;
- mensajes de phishing;
- actividad financiera;
- dispositivos conectados;
- cambios en métodos de recuperación.
Un atacante que perdió el acceso puede intentar recuperarlo mediante ingeniería social.
Checklist de recuperación
| Acción | Objetivo |
|---|---|
| Cambiar contraseña | Invalidar la credencial conocida |
| Cerrar sesiones desconocidas | Expulsar accesos existentes |
| Revisar recuperación | Eliminar vías añadidas por el atacante |
| Revisar MFA/passkeys | Eliminar factores desconocidos |
| Revocar aplicaciones desconocidas | Cortar accesos externos |
| Revisar reenvíos y filtros | Eliminar persistencia en correo |
| Buscar actividad sospechosa | Medir el alcance del incidente |
| Determinar la causa | Evitar un nuevo compromiso |
Lo que no debes hacer
- No cambies la contraseña desde un dispositivo que sabes que está infectado.
- No reutilices la nueva contraseña.
- No olvides revisar sesiones y recuperación.
- No dejes factores MFA desconocidos.
- No ignores filtros o reenvíos de correo.
- No entregues códigos a supuestos agentes de soporte.
- No pagues a desconocidos que prometen “hackear de vuelta” tu cuenta.
Cómo evitar que vuelva a ocurrir
Una vez recuperada la cuenta:
- usa una contraseña única;
- activa MFA;
- utiliza passkeys cuando estén disponibles;
- mantén actualizados los métodos de recuperación;
- elimina aplicaciones que no utilices;
- mantén tus dispositivos actualizados;
- evita iniciar sesión desde enlaces recibidos por mensajes.
La siguiente habilidad: reconocer una web falsa antes de iniciar sesión
Muchas cuentas comprometidas comienzan con algo aparentemente inocente: una página que imita un servicio legítimo y pide usuario, contraseña o datos de pago.
Las páginas falsas son cada vez más convincentes y ya no basta con buscar errores ortográficos o un diseño de mala calidad.
En nuestra siguiente guía veremos cómo saber si una página web es falsa antes de iniciar sesión o pagar.
Conclusión
Recuperar una cuenta hackeada no termina cuando consigues cambiar la contraseña.
El objetivo es recuperar el control completo.
Eso significa comprobar sesiones, dispositivos, métodos de recuperación, MFA, aplicaciones conectadas y configuraciones internas.
En el correo electrónico debes prestar especial atención a filtros y reenvíos porque pueden permitir que un atacante continúe observando mensajes aunque ya no pueda iniciar sesión de la misma forma.
Después intenta descubrir cómo ocurrió.
Si la causa fue una contraseña reutilizada, protege las demás cuentas.
Si fue phishing, modifica tus hábitos de acceso.
Si fue SIM swapping, asegura el número.
Y si sospechas malware, revisa el dispositivo antes de introducir nuevas credenciales.
Una recuperación completa no consiste solo en cambiar la llave: también debes comprobar que el atacante no haya dejado abierta otra puerta.
Preguntas frecuentes
¿Cambiar la contraseña expulsa automáticamente al hacker?
No deberías asumirlo. Revisa también sesiones, dispositivos, aplicaciones conectadas y métodos de recuperación y utiliza las opciones del proveedor para cerrar accesos desconocidos.
¿Qué debo hacer primero?
Si puedes entrar desde un dispositivo seguro, cambia la contraseña y revisa inmediatamente actividad, sesiones y métodos de recuperación.
¿Qué hago si ya no puedo entrar?
Utiliza el proceso oficial de recuperación del proveedor. Evita servicios de terceros que prometen recuperar la cuenta mediante métodos no autorizados.
¿Por qué debo revisar el reenvío del correo?
Porque un atacante podría haber configurado que nuevos mensajes se envíen automáticamente a otra dirección, permitiéndole seguir recibiendo información.
¿También debo revisar los filtros?
Sí. Un filtro puede reenviar, borrar o esconder determinados mensajes y alertas.
¿Tengo que cambiar todas mis contraseñas?
Prioriza la cuenta comprometida y cualquier otra donde reutilizaras la misma contraseña o exista evidencia de riesgo.
¿Debo activar autenticación en dos pasos después?
Sí. Además, utiliza métodos resistentes al phishing como passkeys/FIDO cuando el servicio los admita.
¿Cómo sé cómo entraron?
Revisa actividad y piensa en eventos recientes como phishing, contraseñas reutilizadas, filtraciones, SIM swapping, pérdida del dispositivo o malware.
0 comentarios:
Publicar un comentario