Ciberdelincuentes generan miles de emails fraudulentos en borradores de Outlook/Hotmail para extorsionar sin activar medidas antispam, accediendo mediante enlaces maliciosos o infostealers. Para solucionarlo, cambia la contraseña, activa autenticación en dos pasos, cierra sesiones, elimina reglas de reenvío y revoca accesos a apps.

En los últimos meses, los ciberdelincuentes han intensificado los ataques a cuentas de Hotmail y Outlook mediante una técnica que genera miles de correos electrónicos fraudulentos en la carpeta de borradores. Esto lo hacen para no disparar las medidas antispam, ya que lo único que quieren conseguir es que la víctima pague el «rescate» para que cesen esos correos. Los ciberdelincuentes consiguen el acceso haciendo que la víctima pinche en un enlace, robando sus cookies de sesión, pero también son capaces de conseguir bases de datos de contraseñas porque se han infectado previamente de un infostealer. Si quieres conocer cómo echar el ciberdelincuente de tu cuenta, y cómo proteger correctamente la cuenta de Hotmail o de Outlook, a continuación, tenéis todos los detalles.

Si tu cuenta de Outlook o de Hotmail se ha visto comprometida, es fundamental tomar medidas para expulsar al atacante primero, y solucionar el problema de recibir cientos de emails en borradores cada minuto.

Hackeo de la cuenta de Outlook o Hotmail

El ciberdelincuente en este ataque no es nada sigiloso, lo que quiere es que te enteres bien que has sido hackeado. En la bandeja de entrada de tu cuenta de Hotmail o de Outlook podrás ver cientos de emails que están en borrador, y marcados como prioritarios, así como fijados con chincheta. Recibirás decenas de emails cada minuto, así que es completamente normal que, pasados unos días, veras miles de emails en borradores que realmente no has enviado tú.

El contenido del correo electrónico nos indica que hemos sido hackeados, la contraseña de acceso a la cuenta (si la han robado con un infostealer y no tenías puesto ningún tipo de autenticación en dos factores), y también una dirección a su wallet de Bitcoin para realizar un pago.

El objetivo principal del atacante es extorsionarte para obtener un pago en Bitcoin, para que sea mucho más complicado de rastrear. Bajo ninguna circunstancia debes pagar el rescate: el pago no garantiza que cesen los ataques y te convierte en objetivo de futuros chantajes. Algunos organismos como Policía Nacional e incluso el INCIBE, recomiendan denunciar y nunca ceder al chantaje.

Una vez que veamos este correo electrónico, el cual no tiene ningún enlace malicioso, si nos vamos a la sección de «Seguridad» de Hotmail, y pinchamos en «Ver ubicaciones de conexión» podemos ver que se ha iniciado sesión correctamente desde países donde realmente no estamos. En nuestro caso personal, el primer inicio de sesión fue en India, después en Marruecos, Alemania, Irlanda y otros países, todos ellos con inicios de sesión correctos.

Está claro que hemos sido hackeados, teniendo en cuenta esto, debes saber que el ciberdelincuente también se ha encargado de crear reglas y configuraciones para tener acceso total a tu cuenta, y, sobre todo, a los correos electrónicos que recibes. Si nos vamos en la cuenta de correo de Hotmail a «Configuración / Correo / Reglas» podemos ver varias reglas que permiten reenviar los emails a sus cuentas, para así recibir todos los emails entrantes nuestros.

Si te vas a la herramienta de «To do» de Microsoft, también podréis ver que el mismo mensaje está replicado aquí, el motivo es que tenemos la configuración predeterminada de los emails prioritarios, así que también nos aparecerán aquí. El objetivo es que te enteres que has sido hackeado, y que pagues.

Teniendo en cuenta todo esto, os vamos a enseñar todos los pasos que debes hacer para echar al ciberdelincuente, y también para «parar» la recepción de miles de emails cada hora como «Borradores».

Cómo echar al hacker y parar de recibir los emails en borrador

Es muy importante que sigas todas estas recomendaciones en orden, aunque lo normal es que el ciberdelincuente no esté pendiente de tu cuenta (porque ha automatizado todo), es posible que reciba notificaciones de que estás modificando la cuenta. Así que es fundamental seguir todos los pasos en orden.

Menú de seguridad: Cambiar contraseña y cerrar sesión en todos los sitios

En la sección de «Seguridad» lo primero que debes hacer es cambiar la contraseña de acceso. La contraseña debe ser única, de 15 caracteres o más, y generada de forma aleatoria. Es muy recomendable que uses un gestor de contraseñas, y el propio gestor tendrá un generador de claves integrado. Una vez cambiada la contraseña, es muy importante que habilites el segundo factor de autenticación, nuestra recomendación es que configures un código de aplicación de autenticación, puedes usar cualquier aplicación de generación de códigos como Google Authenticator o bien Microsoft Authenticator, también puedes usar Bitwarden (gestor de claves) que también tiene una app autenticadora.

Microsoft permite varios métodos de autenticación en dos pasos, a continuación, tenéis una breve comparativa entre todos ellos:

Una vez que hayas cambiado la clave y habilitado la autenticación en dos pasos, todas las demás sesiones abiertas deberían cerrarse para cumplir con la nueva política de seguridad. No obstante, nuestra recomendación es que también realices otros ajustes:

• Quitar contraseñas de aplicaciones existentes: pincha en esta opción para quitar todas las claves de aplicaciones, si es que tenías previamente autenticación en dos pasos.
• Cerrar todas las sesiones: esta opción fuerza a que se cierren todas las sesiones abiertas, pero el proceso puede durar hasta 24 horas según Microsoft, así que tienes que tener paciencia. Lo importante es que el proceso se pondrá en marcha, y la cuenta atrás para echar al ciberdelincuente ya está en marcha.

Por último, pincha en la opción de «Restablecer Windows Hello en todos los dispositivos Windows«.

Como podéis ver, ahora mismo ya tienes cambiada la clave, activada la autenticación en dos pasos, y has cerrado sesión, pero aún no has acabado, porque el ciberdelincuente también ha hecho más ajustes.

Menú de Privacidad: Quitar las aplicaciones (usan una API)

En el menú de «Privacidad» debes irte a la sección de «Acceso a aplicaciones«, aquí tienes que ver todas las aplicaciones que se conectan a la cuenta de Microsoft. Nuestra recomendación es que pinches en «No permitir» en todas ellas, sin excepción. Luego tendrás que volver a autenticarte en cada una de ellas que sean legítimas, pero si no sabes qué son, directamente elimina todas pinchando en «No permitir».