Respuesta a incidentes: cuando el entorno de correo está comprometido
Un buzón envía de repente phishing, los clientes reciben solicitudes de pago falsificadas, en el servidor Exchange hay un archivo desconocido o el fabricante de la pasarela de correo informa de una vulnerabilidad explotada. En estas situaciones apoyo la contención, el análisis y el saneamiento, con foco en el nivel del correo y de las identidades.
La consultoría se presta en alemán o en inglés.
- Respuesta a incidentes
- Business Email Compromise
- Microsoft 365
- Exchange Server
- Pasarelas de correo
- Obligaciones de notificación
Casos típicos
- Buzón comprometido (BEC)Inicios de sesión desconocidos, reglas de bandeja de entrada ocultas, reenvíos externos, tokens de sesión robados y fraude en pagos a través de cuentas auténticas.
- Servidor Exchange atacadoVulnerabilidades explotadas en Exchange local: Webshells, configuración manipulada, cuentas o permisos nuevos, exfiltración de contenidos de buzones.
- Vulnerabilidad en la pasarela de correoZero-days en pasarelas como FortiMail o Kiteworks: aplicar el workaround, comprobar si hubo compromiso, planificar la vuelta al servicio.
- Abuso de tu propio dominioCorreos falsificados en nombre de tu empresa, pérdida de reputación y listas de bloqueo: aclarar el origen, cerrar las brechas de autenticación, solicitar la exclusión de las listas.
Procedimiento ante un incidente
- ContenerRevocar sesiones y tokens, restablecer contraseñas y MFA, eliminar reglas y reenvíos maliciosos, aislar los sistemas afectados sin destruir huellas.
- Preservar las huellasAsegurar el Unified Audit Log, los registros de inicio de sesión, el Message Trace y los registros de servidores y pasarelas antes de que los plazos de retención los borren.
- AnalizarReconstruir el punto de entrada, el periodo, las cuentas afectadas y los mensajes leídos, enviados o exfiltrados.
- Sanear y reforzarEliminar la causa, limpiar la configuración, ampliar la monitorización; informe final para la dirección, la aseguradora y las autoridades.
Obligaciones de notificación en Suiza
Si un incidente afecta a datos personales y es probable que suponga un riesgo elevado para las personas afectadas, la Ley federal suiza de protección de datos exige notificarlo lo antes posible al Encargado federal de protección de datos y transparencia (EDÖB) (art. 24 DSG). Desde el 1 de abril de 2025, los operadores de infraestructuras críticas deben notificar los ciberataques a la Oficina Federal de Ciberseguridad (BACS) en un plazo de 24 horas. Aporto las bases técnicas para estas notificaciones; la valoración jurídica corresponde a ti o a tu asesoría jurídica.
Ejemplos de la práctica
- Zero-day de FortiMail CVE-2026-104286: workaround y comprobación de un posible compromiso.
- Kiteworks: el fabricante recomienda apagar: qué hacer ante una vulnerabilidad explotada en una pasarela.
- CVE-2026-62911: relé NTLM de Exchange: vía de ataque y contramedidas para Exchange local.
- Analizar el message tracking de Exchange: las herramientas para reconstruir el flujo de correo a posteriori.
- Rastreador de CVE: vulnerabilidades en productos de correo y mensajería, actualizadas a diario.
