Caso:
Contexto del Caso: Cliente con hosting corporativo sufre creación recurrente de reenviadores de correo no autorizados hacia cuentas Gmail, exponiendo información confidencial.
Acciones Implementadas:
- Migración a cPanel nuevo (limpio) con el mismo proveedor
- Aplicación de filtros de seguridad en correos
- Solicitud de desinfección de equipos cliente (Outlook como cliente de correo)
- Periodo de 3 meses sin incidentes
Situación Actual: El problema reapareció: nuevamente se crean reenviadores automáticos a Gmail sin conocimiento del cliente.
Datos Relevantes:
- Otros clientes del mismo hosting NO presentan este problema
- No se realizó migración de datos (cPanel desde cero)
- Usuarios trabajan con Outlook
- Desinfección de equipos no confirmada adecuadamente
Pregunta Central: ¿Cuál es el vector de ataque que persiste después de renovar completamente el cPanel? ¿Qué estrategia de diagnóstico y remediación implementar para resolver definitivamente este incidente de seguridad recurrente?
Este es un problema serio de seguridad que sugiere que el vector de ataque no se ha identificado correctamente. Analicemos las posibles causas:
Vectores de Ataque Más Probables
1. Credenciales comprometidas
- Las contraseñas del cPanel siguen siendo las mismas o muy similares
- Credenciales almacenadas en las máquinas infectadas de los clientes
- Contraseñas débiles o reutilizadas en múltiples servicios
- Tokens de sesión guardados en navegadores comprometidos
2. Máquinas cliente no desinfectadas correctamente
- Los equipos donde usan Outlook probablemente tienen malware/keyloggers activos
- El malware está capturando credenciales cuando acceden al cPanel o webmail
- Posible troyano bancario que también roba credenciales de servicios web
3. Configuración de aplicaciones en Outlook
- Contraseñas de aplicación almacenadas que siguen siendo válidas
- Tokens OAuth comprometidos que no se revocaron
- Configuración de cuentas que mantiene acceso incluso después del cambio
Soluciones Recomendadas (Paso a Paso)
Acción Inmediata:
- Cambiar TODAS las contraseñas desde una máquina limpia (no desde sus equipos actuales)
- Revocar todas las sesiones activas en cPanel
- Eliminar todos los reenviadores existentes inmediatamente
Diagnóstico profundo de equipos cliente:
- Realizar escaneo completo con múltiples herramientas (Malwarebytes, ESET, Kaspersky Rescue Disk)
- Considerar formateo completo de las máquinas como opción más segura
- Revisar extensiones de navegador instaladas (pueden robar credenciales)
- Verificar procesos sospechosos en ejecución
Fortalecimiento de seguridad:
- Implementar autenticación de dos factores (2FA) en cPanel si está disponible
- Cambiar la URL de acceso al cPanel si el hosting lo permite
- Implementar restricción de IP para acceso a cPanel (whitelist)
- Usar contraseñas generadas aleatoriamente de 20+ caracteres
- Implementar monitoreo/alertas cuando se creen reenviadores
Verificación de Outlook:
- Eliminar y reconfigurar todas las cuentas en Outlook desde cero
- No usar "recordar contraseña" en las aplicaciones
- Considerar usar webmail temporalmente para aislar el problema
Auditoría adicional:
- Revisar logs de acceso del cPanel para identificar IPs sospechosas
- Verificar si hay aplicaciones de terceros conectadas a las cuentas de correo
- Revisar plugins/temas de WordPress u otros CMS si los tienen instalados
- Verificar usuarios FTP/SSH activos
Pregunta Clave
¿Desde dónde están accediendo al cPanel para administrar los correos? Si lo hacen desde las mismas máquinas donde tienen Outlook, es muy probable que ahí esté el problema. El malware está capturando las credenciales cada vez que inician sesión.
Mi recomendación más fuerte: Asumir que las máquinas están completamente comprometidas y proceder con formateo completo o, al menos, realizar todos los cambios de contraseñas desde una máquina limpia diferente (puede ser un Live USB de Linux).
SOLUCION FINAL
Si el cliente no tienen sitio web y solo necesitan correo electrónico corporativo, definitivamente te recomendaría migrar a un servicio especializado de correo en lugar de mantener un hosting tradicional.
Google Workspace vs Hosting Tradicional
Google Workspace es la mejor opción en este caso porque:
Ventajas de Google Workspace
- Seguridad robusta por defecto: 2FA, detección de amenazas, protección anti-phishing
- Sin acceso a cPanel: Eliminas el vector de ataque principal (el cPanel comprometido)
- Auditoría completa: Logs detallados de todos los accesos y cambios
- Alertas de seguridad: Notificaciones automáticas de actividad sospechosa
- Protección contra malware: Escaneo automático de adjuntos
- Recuperación de cuentas: Proceso más seguro y controlado
- Interfaz más simple: Menos superficie de ataque que un cPanel completo
- Backup automático: No dependen de hacer respaldos manuales
Costos
- Google Workspace Business Starter: ~$6 USD/usuario/mes
- Incluye: 30GB almacenamiento, Gmail, Drive, Meet, Calendar
- Sin costos ocultos de hosting, SSL, renovaciones
Alternativas Comerciales (si el presupuesto es muy ajustado)
Microsoft 365 Business Basic
- ~$6 USD/usuario/mes
- Integración perfecta con Outlook que ya usan
- Seguridad similar a Google Workspace
Zoho Mail
- Desde $1 USD/usuario/mes (plan básico)
- Buena seguridad, menos conocido pero confiable
- Opción económica para presupuestos limitados
Titan Email
- ~$5-8 USD/usuario/mes
- Enfocado solo en correo
- Buena opción intermedia
Recomendación Final
Dado tu situación específica (reincidencia de ataques, necesidad solo de correo):
Migra a Google Workspace o Microsoft 365 inmediatamente
Razones:
- Eliminas el cPanel (que es donde está el problema)
- 2FA obligatorio para todos los usuarios
- Mejor protección que cualquier hosting compartido
- Soporte profesional ante incidentes de seguridad
- El costo adicional es mínimo comparado con el riesgo actual
Plan de Migración
- Contratar Google Workspace/Microsoft 365 desde una máquina limpia
- Configurar 2FA obligatorio para todos
- Migrar correos usando herramientas oficiales de Google/Microsoft
- Reconfigurar Outlook con las nuevas cuentas (OAuth, no contraseñas)
- Cancelar el hosting una vez verificada la migración
- Formatear las máquinas de los usuarios antes de dar acceso a las nuevas cuentas
Importante: Aunque migres a Google Workspace, si no desinfectas/formateas las máquinas cliente, el malware podría seguir causando problemas, aunque en menor medida gracias al 2FA.