Credenciales de empleados robadas: protocolo de actuación

Primero, entiende qué ha pasado realmente

Una filtración "de terceros" significa que el servicio comprometido no es tuyo: una plataforma, una tienda online o una herramienta donde alguien de tu equipo se registró con su correo de trabajo. Tus sistemas pueden estar intactos y, aun así, la credencial está expuesta. El peligro real aparece cuando esa misma contraseña se reutiliza en cuentas corporativas, porque los atacantes prueban automáticamente las claves filtradas en otros servicios.

Antes de actuar, aclara tres cosas: qué cuenta aparece, qué dato se filtró (solo el correo o también la contraseña) y de qué brecha procede y de cuándo es. Una filtración antigua con una contraseña que ya cambió hace años es muy distinta de una reciente con una clave que sigue en uso.

Protocolo de actuación paso a paso

Paso 1: designa a un responsable y abre un registro

Una persona coordina y anota: fecha y hora del aviso, fuente, cuentas afectadas y cada acción realizada. Ese registro te servirá si hay que justificar tu diligencia ante la AEPD o ante tu aseguradora.

Paso 2: cambia la contraseña de inmediato, en todas partes donde se reutilizara

No basta con cambiarla en el servicio filtrado. Pregunta al empleado dónde más usa esa clave o variaciones de ella: correo corporativo, banca, CRM, redes sociales de empresa. Cada contraseña debe ser distinta, larga y generada con un gestor de contraseñas. Pídele que la cambie él mismo desde un equipo de confianza, no por mensajes ni por correo.

Paso 3: activa o refuerza el doble factor

Si la cuenta no tenía MFA, actívalo ya en el correo y en las herramientas críticas. Con MFA, una contraseña filtrada por sí sola deja de ser suficiente para entrar. Si quieres profundizar, mira nuestra guía de doble factor de autenticación para pymes.

Paso 4: cierra sesiones y revoca accesos

Fuerza el cierre de todas las sesiones activas, revoca contraseñas de aplicación y tokens, y revisa los dispositivos conectados. Una contraseña nueva no expulsa necesariamente a quien ya tiene una sesión abierta.

Paso 5: busca señales de uso indebido

Revisa el historial de inicios de sesión (ubicaciones y dispositivos desconocidos) y, sobre todo en el correo, busca estas pistas:

• Reglas de reenvío o filtros nuevos que desvíen mensajes a una dirección externa.
• Mensajes enviados que el empleado no reconoce.
• Cambios en datos de pago o en facturas a proveedores, típicos del fraude del CEO.
• Avisos de restablecimiento de contraseña que no pidió nadie del equipo.

Si encuentras algo de esto, deja de tratarlo como "credencial expuesta" y pasa a tratarlo como incidente. Ayúdate de cómo saber si tu empresa ha sido hackeada y del plan de respuesta a incidentes.

Paso 6: avisa al equipo de forma útil, no alarmista

Comunica qué ha pasado, qué se ha hecho y qué se pide a cada persona. Un mensaje claro ("cambia tu contraseña, no la reutilices, activa MFA") funciona mejor que un aviso genérico. Y recuerda que el empleado no es el culpable: el objetivo es corregir el proceso, no señalar a nadie.

Paso 7: evalúa las obligaciones legales

Si el acceso a una cuenta ha permitido ver o alterar datos personales de clientes o empleados, estamos ante una posible violación de seguridad de datos personales. El artículo 33 del RGPD exige notificarla a la AEPD sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que entrañe un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, el artículo 34 exige además comunicarlo a los afectados. La LOPDGDD completa este marco en España. Una credencial filtrada de un tercero, sin que nadie haya accedido a tus datos, normalmente no obliga a notificar, pero sí conviene dejarlo documentado y razonado.

Paso 8: cierra la causa raíz

Pregúntate por qué ha sido posible: ¿reutilización de claves?, ¿correo corporativo usado para registrarse en servicios personales?, ¿falta de MFA?, ¿nadie vigilaba las filtraciones? Resolver la causa evita que el mismo aviso llegue el mes que viene.

Errores habituales que conviene evitar

• Esperar a "ver si pasa algo": las claves filtradas se prueban de forma automática en muchos servicios, a menudo en cuestión de horas.
• Cambiar solo una letra o un número de la contraseña antigua: las variaciones previsibles son de las primeras que se prueban.
• Enviar la contraseña nueva por correo o por chat al responsable de TI: si el correo estaba comprometido, el atacante la leerá también.
• Olvidar las cuentas compartidas: buzones genéricos, perfiles de redes sociales o paneles que usan varias personas con la misma clave.
• No dejar constancia: sin registro, es imposible demostrar después qué se hizo y cuándo.

Qué decirle al empleado afectado

• Que no se ha hecho nada malo por haberse registrado en un servicio, pero que debe separar su identidad personal de la corporativa.
• Que deje de usar el correo del trabajo para servicios que no sean de trabajo.
• Que use el gestor de contraseñas que aprueba la empresa y evite apuntarlas en papel o en el navegador sin protección.
• Que avise enseguida si recibe correos o llamadas extrañas: tras una filtración, el phishing dirigido es habitual. Tienes más pautas en cómo detectar el phishing y proteger a tu equipo.

Prevención: que el próximo aviso sea un trámite

• Política de contraseñas simple y escrita: únicas, largas, con gestor, nada de reutilizar.
• MFA obligatorio en correo, administración web, banca, CRM y herramientas de nube.
• Bajas inmediatas: cuando alguien deja la empresa, se desactiva todo el mismo día.
• Vigilancia de filtraciones de tus dominios para enterarte tú antes que el atacante. Explicamos opciones en cómo monitorizar la dark web para tu empresa.
• Conexiones seguras para el teletrabajo, con una VPN empresarial junto con MFA, no en su lugar.
• Formación breve y periódica sobre phishing y reutilización de claves.

Dónde pedir ayuda

INCIBE ofrece asesoramiento gratuito en ciberseguridad a empresas en el teléfono 017. Si hay indicios de acceso real o de datos personales afectados, valora contar cuanto antes con apoyo técnico y jurídico para contener el incidente y decidir sobre la notificación a la AEPD dentro de plazo. Para casos más amplios, tienes la guía sobre qué hacer si sufres un ciberataque.

Preguntas frecuentes