Hackearon la cuenta de Microsoft de un empleado — ¿qué hacemos en la primera hora?

Mandad ya mismo un aviso urgente a los clientes o llamadlos por teléfono. Decidles que no hagan caso a los últimos correos de facturas o cambios de cuenta que hayan llegado desde vuestro sistema. Si un cliente da una orden de pago al banco mientras vosotros estáis cambiando la contraseña, arreglar ese daño va a ser mucho más difícil que la intervención técnica.

Darle al botón de cerrar sesión puede no ser suficiente por sí solo; revisad también las API y las aplicaciones de terceros autorizadas. A veces vinculan permisos de aplicaciones externas a la cuenta y, aunque se cierre la sesión, pueden seguir leyendo el correo a través del token de autorización. Escanead sí o sí la lista de aplicaciones corporativas y permisos de acceso del panel.

Mantened la calma y no borréis ningún registro. A veces los administradores con el pánico limpian la bandeja de entrada entera o borran la cuenta; sin embargo, en Alemania vais a necesitar esos registros de log en el marco de la normativa de protección de datos y la obligación de notificar ciberincidentes locales. Descargad de inmediato al ordenador los registros de auditoría que sirven como prueba.

a nosotros tb nos paso el año pasado. en fin no os salteis la parte de las rgelas si o si estos tios reenviaban y borraban automaticamente los mails q llevaban la palabra factura, nos dimos cuenta a las dos semanas x desgracia.

Una vez controlado el incidente, os recomiendo poneros en contacto con vuestro delegado de protección de datos. Si se confirma que se han filtrado datos personales de terceros o secretos comerciales, es posible que tengáis que hacer una notificación oficial a la autoridad de control correspondiente y a los clientes afectados dentro de los plazos legales.

Que la empresa a la que pagáis 800 euros al mes no esté localizable en una emergencia es lo que de verdad habría que cuestionar. ¿No tenéis cláusula de tiempo de respuesta en el contrato? En cuanto pase esta crisis poned ese contrato sobre la mesa, porque un servicio de soporte que no responde en la primera hora no da ninguna garantía de seguridad.

Resumo en orden lo que hay que hacer ahora mismo: 1) Cerrar las sesiones del usuario desde el panel general. 2) Borrar las reglas de reenvío del buzón de correo. 3) Actualizar la contraseña y los métodos de autenticación de doble factor. 4) Hacer copia de seguridad de los registros de sesión del usuario de las últimas 48 horas. 5) Informar al equipo de finanzas y operaciones sobre los correos de cambio de cuenta.

En resumen, en la parte técnica es imprescindible cerrar sesiones, cambiar contraseña, limpiar dispositivos de verificación y reglas de reenvío. En la parte administrativa, hay que avisar a los clientes por teléfono y guardar copia de seguridad de los logs del sistema por si hay riesgo de filtración de datos. Ya hablarán más adelante con la empresa de soporte sobre las condiciones del contrato.

Guardado. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Quisiera hacer una pregunta. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

También me gustaría saber si alguien lo hace de otra manera.

Tomo nota, gracias.

¿Y cómo resolvieron esto? Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Espero que le sea útil.

Le agradecería que compartiera el resultado... La respuesta varía mucho según el sector, no hay una regla general.

Por supuesto, cambia si tu situación es diferente.

En teoría es correcto, pero en la práctica no funciona así. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Lo dejo como nota, por si sirve.

Han surgido tres opiniones distintas, todas se complementan. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Eso es todo, disculpa si me he extendido demasiado.

Si vas por ahí, resuelve esto desde el principio. Una copia de seguridad no probada no es una copia de seguridad.

yo no me apresuraría. la respuesta varía mucho según el sector, no hay una regla general.

yo seeguiría por ese camino.

Aquí hay que hacer una distinción. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.