Contener: los primeros quince minutos
Estos pasos se ejecutan desde el centro de administración de Microsoft Entra o con PowerShell, y conviene tenerlos escritos antes de necesitarlos. Si la cuenta comprometida es de un administrador, hazlos desde otra cuenta administrativa y con un equipo distinto del afectado.
- Revocar todas las sesiones de la cuenta (la opción de cerrar todas las sesiones en el perfil del usuario, o `Revoke-MgUserSignInSession` desde Microsoft Graph PowerShell). Esto invalida los tokens de actualización y obliga a volver a autenticarse.
- Restablecer la contraseña por una nueva, larga y única, y entregarla por un canal distinto del correo comprometido.
- Eliminar y volver a registrar los métodos de autenticación. El atacante pudo registrar su propio teléfono o su propia app, lo que le permitiría pasar MFA indefinidamente.
- Si la cuenta tiene privilegios o hay evidencia de movimiento, bloquear el inicio de sesión mientras se investiga, en lugar de devolverla a producción de inmediato.
- Quitar temporalmente los roles administrativos asignados a esa cuenta y revisar si se asignaron roles nuevos a otras cuentas.
- Avisar al usuario por teléfono, no por correo, y pedirle que no borre nada: lo que parezca basura puede ser evidencia.
Buscar lo que el atacante dejó atrás
La persistencia es la parte del trabajo que se omite con más frecuencia, y es la que hace que el mismo incidente vuelva a aparecer en dos semanas. Revisa, uno por uno:
- Reglas de bandeja de entrada. Las típicas mueven a una carpeta poco visible todo lo que contenga palabras como factura, transferencia o contraseña, para que el usuario no vea las respuestas. Revisa también reglas con nombre vacío o de un solo carácter.
- Reenvío de correo, tanto el configurado por el usuario como el que se define a nivel de buzón, y las reglas de transporte de toda la organización: un atacante con permisos puede crear una que copie correo saliente.
- Aplicaciones con consentimiento. Una app de terceros autorizada a leer correo y archivos mantiene el acceso aunque cambies la contraseña y el MFA. Revisa las aplicaciones empresariales y los consentimientos del usuario, y revoca lo que no reconozcas.
- Delegaciones y permisos de buzón: acceso delegado, Enviar como, Enviar en nombre de, y suscripciones a carpetas compartidas.
- Protocolos y dispositivos: clientes antiguos conectados por IMAP o POP, aplicaciones con contraseñas específicas de aplicación y dispositivos móviles inscritos que el usuario no reconoce.
- Cambios de configuración: nuevos usuarios creados, cambios en políticas de acceso condicional, exclusiones añadidas y modificaciones en la configuración de auditoría.
Medir el alcance real
Una cuenta comprometida no es un problema de una cuenta: es un problema de todo lo que esa cuenta podía ver. La pregunta que hay que poder responder por escrito es qué información se expuso y si hubo movimiento hacia otras cuentas.
Las fuentes para responderla están en el propio entorno, siempre que la auditoría estuviera activa antes del incidente, que es otra razón para revisar su configuración hoy y no después.
- Registros de inicio de sesión de Entra ID: direcciones IP, países, aplicaciones usadas, si el inicio de sesión pasó MFA y desde qué dispositivo.
- Registro de auditoría unificado en el portal de cumplimiento: creación de reglas, consentimientos, accesos a archivos y envío de correo.
- Actividad del buzón, incluido el evento que registra el acceso a elementos de correo —disponible en los planes con auditoría avanzada—, que es lo que permite decir qué se leyó y no sólo que alguien entró.
- Descargas y accesos en SharePoint y OneDrive: un volumen anómalo de descargas indica exfiltración, no curiosidad.
- Correo enviado desde la cuenta: busca mensajes de phishing enviados a contactos internos y externos, porque esa es la vía normal de propagación y obliga a avisar a terceros.
- Otras cuentas que recibieron correo de la comprometida o que iniciaron sesión desde las mismas direcciones IP.
Avisar y documentar
Dos tareas que no son técnicas y que conviene hacer en paralelo a la contención. La primera es avisar: a los contactos internos y externos que recibieron correo fraudulento desde la cuenta, para que no actúen sobre instrucciones falsas —especialmente si el atacante intervino en una conversación de pagos o de datos bancarios—, y a la dirección, con lenguaje claro sobre lo que se sabe y lo que todavía no.
La segunda es documentar: una línea de tiempo con fechas y horas, qué se detectó, qué se hizo, qué información estuvo accesible y qué evidencia se conserva. Si en el buzón había datos personales de clientes, empleados o candidatos, hay que evaluar las obligaciones de notificación que apliquen con la asesoría legal de la empresa; esa evaluación necesita la línea de tiempo. Y si existe un ciberseguro, revisa los plazos de aviso: suelen ser cortos.
Cerrar el hueco para que no se repita
Un compromiso de cuenta casi nunca es mala suerte: es una configuración que lo permitía. Antes de dar por cerrado el incidente, cierra la causa.
- MFA en todas las cuentas y, para administradores, dirección y finanzas, un factor resistente al phishing (llaves FIDO2 o passkeys). La mayoría de estos robos ocurre con MFA activo, mediante páginas falsas que capturan la sesión.
- Bloquear la autenticación heredada con acceso condicional y exigir dispositivo administrado para el acceso a datos.
- Restringir que los usuarios puedan otorgar consentimiento a aplicaciones de terceros, y revisar las autorizadas de forma periódica.
- Activar las alertas que avisan de reglas de reenvío nuevas, de envío masivo inusual y de inicios de sesión con riesgo detectado. Que lleguen a un buzón que alguien lee.
- Verificar que la auditoría está activa con la retención adecuada: sin registros no hay investigación posible.
- Capacitación de phishing centrada en lo que realmente ocurre: páginas de inicio de sesión clonadas y peticiones urgentes de pago.
La versión corta para pegar en la pared
- Revocar sesiones. Restablecer contraseña. Rehacer el registro de MFA.
- Buscar reglas de bandeja, reenvíos y aplicaciones con consentimiento, y eliminar lo que no se reconozca.
- Revisar los registros de inicio de sesión y de auditoría para determinar el alcance.
- Avisar a quienes recibieron correo desde la cuenta y documentar la línea de tiempo.
- Cerrar la causa: MFA resistente al phishing, bloqueo de autenticación heredada, control de consentimientos y alertas que alguien lea.