Identifica y protege las cuentas vulneradas

Paso 1. Suspender temporalmente la cuenta de usuario que se sospecha que está vulnerada

1. Suspende al usuario para evitar el acceso no autorizado.

   Nota: Cuando se suspende a un usuario, se restablecen sus cookies de acceso y tokens de OAuth.

2. Investiga la actividad potencialmente no autorizada y restablece la cuenta. También puedes inscribir el dominio en la verificación en 2 pasos (2SV).
3. Pídele al usuario afectado que revise su dirección de recuperación y complete la lista de tareas de seguridad de Gmail.

Paso 2. Investiga la cuenta para detectar actividad no autorizada

1. Si el usuario vulnerado es un administrador, revisa los registros de auditoría de administrador para ver si hay cambios de configuración que el usuario haya realizado recientemente. Omite este paso si no corresponde.
2. Revisa los dispositivos móviles asociados con la cuenta afectada y borra los dispositivos sospechosos.
3. Investiga la actividad potencialmente no autorizada:
   1. Usa los eventos de registro de usuarios en la Consola del administrador para ver una lista completa de los accesos basados en la Web que se realizaron correctamente y los que fallaron en tu dominio durante un máximo de 6 meses. Los accesos sospechosos se marcan con un ícono de advertencia. También puedes recuperar los accesos de las cuentas de dominio a través de la API de Reports.
   2. Usa la búsqueda en el registro de correos electrónicos para revisar los registros de entrega de tus dominios y evaluar el tránsito de mensajes hacia y desde las cuentas posiblemente hackeadas. Si Vault administra la cuenta, puedes usar la búsqueda en el registro de correo electrónico para revisar la actividad de correo electrónico.
      Nota: Si tus usuarios actualizan a una edición que incluye Vault, podrán recuperar los correos electrónicos o documentos borrados de forma permanente.
   3. Usa el Informe de seguridad para evaluar la exposición del dominio a los riesgos de seguridad de los datos. Deberías revisar los siguientes informes:
      • Eventos de registro de OAuth
      • Eventos de registro de Grupos
      • Eventos de registro de Drive

        Ediciones compatibles con esta función: Frontline Starter, Frontline Standard y Frontline Plus; Business Starter, Business Standard y Business Plus; Enterprise Standard y Enterprise Plus; Education Fundamentals, Education Standard y Education Plus; Essentials Starter, Essentials, Enterprise Essentials y Enterprise Essentials Plus; G Suite Business. Comparar tu edición

      • Eventos de registro del Calendario
   4. Verifica si se crearon parámetros de configuración maliciosos. Puedes recuperar la configuración de la cuenta de usuario (como la configuración de reenvío) a través de la API de Gmail. Si sospechas que se usó una cuenta de consumidor@gmail.com como parte de esta vulneración, denúnciala.

Paso 3: Revoca el acceso a la cuenta afectada

1. Sigue los pasos que se indican en Restablece la contraseña de un usuario.
2. Revoca los tokens de OAuth 2.0 del usuario.
3. Algunas aplicaciones que usan el método de autenticación de OAuth 2.0 dejarán de acceder a los datos después de que restablezcas la contraseña de un usuario. El usuario debe acceder con su nombre de cuenta y la contraseña nueva para recibir un token de OAuth 2.0 nuevo.
4. Quita las contraseñas de la aplicación que creó el usuario.

Paso 4: Vuelve a otorgar acceso al usuario

1. Anula la suspensión de la cuenta.
2. Informa a los usuarios sus nuevas contraseñas temporales y pídeles que establezcan contraseñas nuevas y únicas (que no se usen en ningún otro sitio web o aplicación).
3. Habilita la verificación en 2 pasos para el dominio y, luego, inscribe a los usuarios con llaves de seguridad (se recomienda usarlas en lugar de los códigos de 2SV).
4. Trabaja con los usuarios para completar la lista de tareas de seguridad de Gmail para usuarios finales. Por ejemplo, asegúrate de que todos los filtros y las opciones de reenvío de los usuarios finales estén configurados correctamente.
   1. Actualiza las opciones de recuperación de la cuenta
   2. Revisa tu cuenta para detectar actividad inusual.
   3. Verifica si hay mensajes faltantes o sospechosos.
   4. Revisa tus contactos para ver si hay errores.
   5. Revisa la configuración de Gmail.

Paso 1. Inscríbete en la verificación en 2 pasos con llaves de seguridad

Inscribirse en la verificación en 2 pasos agrega una capa adicional de seguridad a las cuentas de tus usuarios. Cuando los usuarios acceden a sus cuentas, deben ingresar un código de verificación, además de su nombre de usuario y contraseña. Consulta Cómo agregar la verificación en 2 pasos para obtener más detalles. Recomendamos usar llaves de seguridad en lugar de códigos de seguridad de la 2SV para obtener una mejor protección contra la suplantación de identidad (phishing).

Paso 2. Agrega, protege o actualiza las opciones de recuperación

Consulta Agrega opciones de recuperación a tu cuenta de administrador para obtener instrucciones sobre cómo agregar direcciones de correo electrónico y números de teléfono secundarios. Te recomendamos que protejas las direcciones de correo electrónico secundarias cambiando las contraseñas o que actualices el correo electrónico secundario a una dirección nueva.

Paso 3: Habilita las alertas de actividad de la cuenta

Como administrador, puedes elegir recibir alertas de actividad de la cuenta cuando se produzcan eventos importantes, como accesos potencialmente sospechosos o cambios en la configuración del servicio por parte de otros administradores.

Consulta el Centro de seguridad de Google para obtener recomendaciones generales sobre cómo proteger tu cuenta.