Lo primero es distinguir un acceso real de una suplantación
- Revisa “Enviados” y la actividad reciente de la cuenta.
- Si el mensaje no aparece en tu buzón, puede tratarse de spoofing, es decir, una dirección falsificada.
- Cambia la contraseña desde un dispositivo seguro y activa la verificación en dos pasos.
- Comprueba si existen reglas, filtros o reenvíos que oculten tus mensajes.
- Analiza también las cuentas vinculadas, los servicios de recuperación y posibles riesgos económicos.
¿Alguien entró en tu buzón o solo falsificó tu dirección?
La primera comprobación es sencilla. Abre la carpeta Enviados y busca el mensaje concreto, incluyendo la fecha, los destinatarios y los archivos adjuntos. Si aparece allí y no lo redactaste tú, existe una posibilidad importante de que alguien haya accedido a la cuenta o de que una aplicación autorizada haya enviado el correo.
Si no aparece en “Enviados” y solo has recibido una respuesta de error, una llamada de un contacto o una copia del mensaje, la explicación más probable puede ser la suplantación del remitente. El campo “De” de un correo puede falsificarse para que parezca que procede de tu dirección, aunque el mensaje se haya enviado desde otro servidor.
| Lo que observas | Qué puede significar | Qué hacer |
|---|---|---|
| El correo aparece en “Enviados” | Acceso real, aplicación conectada o malware | Proteger la cuenta de inmediato |
| Solo recibes un aviso de entrega fallida | Posible spoofing o campaña de spam | Revisar cabeceras y actividad |
| Hay inicios de sesión desconocidos | Alguien ha usado tus credenciales | Cerrar sesiones y cambiar la contraseña |
| Han desaparecido correos o llegan a otra dirección | Regla o reenvío creado por un tercero | Eliminar configuraciones extrañas |
Para salir de dudas, consulta los detalles del mensaje y, si sabes hacerlo, sus cabeceras completas. Los campos SPF, DKIM y DMARC ayudan a comprobar si el servidor que lo envió estaba autorizado, aunque no sustituyen la revisión de la cuenta. En la práctica, la presencia del mensaje en “Enviados” y una sesión desconocida son señales mucho más claras que el nombre que aparece junto al remitente.
Qué hacer en los primeros diez minutos
Yo actuaría en este orden, porque cambiar solo la contraseña no siempre basta. Si el atacante dejó una sesión abierta, una regla automática o una aplicación con permisos, puede volver a enviar mensajes aunque ya hayas modificado la clave.
- Cambia la contraseña desde un ordenador o móvil actualizado y de confianza. Usa una clave larga, exclusiva para el correo y que no hayas utilizado en otras páginas.
- Cierra las sesiones abiertas en todos los dispositivos que no reconozcas. Si existe una opción para cerrar todas las sesiones, úsala después de cambiar la contraseña.
- Activa la verificación en dos pasos. Una aplicación autenticadora o una llave de acceso suele ofrecer más protección que depender únicamente de mensajes SMS.
- Revisa el correo y teléfono de recuperación. Elimina cualquier dato que no sea tuyo y confirma que puedes recibir códigos de recuperación.
- Revoca aplicaciones conectadas que no reconozcas. Algunas pueden leer mensajes o enviar correos mediante permisos concedidos anteriormente.
- Informa a tus contactos si se enviaron enlaces, archivos o peticiones de dinero. Pídeles que borren el mensaje y que no respondan.
Borrar el mensaje de la carpeta “Enviados” no lo retira del buzón del destinatario. La función de recuperar un correo tiene limitaciones muy concretas y, en Outlook, normalmente depende de que emisor y receptor pertenezcan a la misma organización y utilicen un entorno compatible.
Dónde buscar el control que dejó el intruso
Gmail
En Gmail, entra en Configuración y Ver todos los ajustes. Revisa las pestañas de reenvío, filtros, cuentas e importación, y comprueba que no exista una dirección externa autorizada para recibir tus mensajes.
También debes consultar la actividad de tu cuenta y la lista de dispositivos conectados. Google recomienda revisar esos accesos y retirar los que no reconozcas. Presta especial atención a filtros que archiven, marquen como leídos, eliminen o reenvíen mensajes, porque pueden ocultar las pruebas del acceso.
Outlook y Hotmail
En Outlook.com, busca Configuración, Correo y Reglas. Comprueba además las opciones de reenvío, las cuentas conectadas y la actividad reciente de inicio de sesión. Una regla que envía ciertos mensajes a otra dirección puede pasar desapercibida durante semanas.
Si utilizas Outlook en una empresa, revisa también si existe algún permiso de “Enviar como” o “Enviar en nombre de”. En cuentas corporativas, el administrador puede tener que investigar registros del servidor y aplicaciones autorizadas.
Lee también: Cómo limpiar Windows 10 sin borrar archivos importantes
Otros proveedores
Yahoo, iCloud y los servicios de correo de operadores suelen ofrecer menús equivalentes. Busca siempre cuatro apartados: sesiones activas, reenvíos, reglas y aplicaciones externas. Si no encuentras una opción, accede al centro de ayuda del proveedor escribiendo su dirección manualmente en el navegador, no desde un enlace recibido por correo.
Un error frecuente consiste en quedarse únicamente con el móvil. Las configuraciones más delicadas suelen verse mejor en la versión web de escritorio, donde aparecen todos los filtros, permisos y métodos de recuperación.
Qué daños revisar aunque ya hayas cambiado la contraseña
El objetivo no es solo detener los envíos. Si alguien ha leído tu buzón, puede haber visto facturas, documentos, conversaciones privadas o enlaces para restablecer otras cuentas. Yo revisaría los siguientes puntos antes de dar el incidente por cerrado.
- Restablecimientos de contraseña que no hayas solicitado en redes sociales, tiendas, servicios públicos o plataformas de trabajo.
- Mensajes eliminados o archivados, especialmente avisos bancarios, compras, reservas y comunicaciones profesionales.
- Datos de recuperación modificados, como teléfonos, direcciones alternativas o preguntas de seguridad.
- Documentos compartidos en Drive, OneDrive, iCloud u otros servicios vinculados al correo.
- Solicitudes de pago enviadas a familiares, clientes o compañeros desde tu dirección.
Si el correo se usa para trabajar, informa cuanto antes al responsable de sistemas. Puede ser necesario conservar las cabeceras, la hora del acceso y capturas de pantalla para investigar el incidente. No borres todas las pruebas antes de documentarlas, sobre todo si hubo fraude, amenazas o exposición de información personal.
Cuándo parece spoofing y cuándo debes pedir ayuda
La suplantación es más probable cuando solo recibes rebotes, el mensaje no está en “Enviados”, no hay accesos extraños y tus contactos recibieron un texto genérico con enlaces o publicidad. En ese caso, cambiar la contraseña puede ser una buena medida preventiva, pero no siempre detendrá los mensajes falsos, porque no salen realmente de tu buzón.
La situación es más seria si encuentras inicios de sesión desconocidos, cambios de configuración, correos leídos o mensajes enviados desde tu cuenta. También debes actuar con rapidez si el atacante contactó con clientes, pidió dinero o utilizó tu correo para restablecer otra contraseña.
En España, puedes pedir orientación gratuita y confidencial a INCIBE a través de la línea 017. Si hay pérdidas económicas, suplantación de identidad o acceso a información sensible, guarda las evidencias y valora presentar una denuncia ante las autoridades.
No respondas al supuesto atacante ni pulses enlaces incluidos en mensajes de alerta. Accede al proveedor escribiendo tú mismo la dirección oficial o utilizando la aplicación instalada en tu dispositivo.
La comprobación que yo haría antes de dar el incidente por cerrado
Después de limpiar la cuenta, enviaría un mensaje de prueba a otra dirección propia y comprobaría que llega correctamente, que no se reenvía a terceros y que aparece en “Enviados”. Durante las siguientes 24 horas, revisaría las alertas de seguridad y cualquier notificación de cambio de contraseña.
Para reducir el riesgo futuro, mantendría una contraseña exclusiva en un gestor, la verificación en dos pasos activada y copias de seguridad de los mensajes importantes. La señal decisiva no es que un correo parezca salir de tu dirección, sino si alguien ha podido entrar, leer, modificar o enviar desde el servicio que realmente controla tu cuenta.