Trabaje en este orden. Los dos primeros pasos tienen como objetivo detener el daño; la investigación puede seguir. 1. Cambiar la contraseña de la cuenta Hazlo desde un dispositivo en el que confíes y utiliza una contraseña que no hayas utilizado en ningún otro lugar. Si no puede iniciar sesión, abra un ticket inmediatamente y dígalo; no espere. 2. Cambiar la contraseña en el buzón del registrante Este es el que decide si se puede aprobar una transferencia. Mientras esté allí, observe las reglas de reenvío: los atacantes suelen agregar una regla que copia su correo en otro lugar y lo deja en su lugar mucho tiempo después de cambiar la contraseña. 3. Vuelva a activar el sistema de dos factores con nuevos códigos Si ya estaba activado y ahora está desactivado, eso es en sí mismo una prueba. Vuelva a habilitarlo y guarde los códigos de recuperación en algún lugar al que pueda acceder si el teléfono ya no está. 4. Mira los dominios Verifique los servidores de nombres en cada dominio y los registros DNS dentro de ellos. Busque nuevos registros A o MX que no agregó. Verifique que el bloqueo del registrador aún esté activado. Verifique que los registros de contacto no se hayan cambiado a otra persona. 5. Mira la actividad de la cuenta. El historial de inicio de sesión y las acciones recientes muestran cuándo se produjo el acceso. Tome capturas de pantalla con fechas. 6. Cuéntanos Abra un ticket que describa lo que encontró y cuándo. Adjunte las capturas de pantalla y, si las tiene, los correos electrónicos de phishing originales con sus encabezados completos. Si un dominio ya ha sido transferido, dígalo en la primera línea; eso cambia lo que se puede hacer y con qué rapidez. que preguntaremos Verificando que eres el titular de la cuenta. Para cambios que afecten el control de la cuenta (la dirección de correo electrónico, dos factores, desbloquear una transferencia), le pediremos que demuestre quién es. Esto es deliberado y no se omitirá porque sea urgente. Como suele empezar Reutilización de contraseña: la misma contraseña apareció en un incumplimiento de algún otro sitio. Phishing: una página parecida a la nuestra pedía la contraseña o el código de dos factores. Adquisición del buzón: la dirección del registrante fue el punto débil. Nunca te pedimos tu contraseña o un código de dos factores por teléfono, chat o correo electrónico.