Hace un par de meses, un cliente me llamó desesperado porque no podía entrar a su casilla de correo. No era un problema de contraseña. Era un secuestro de dominio. Le habían cambiado los DNS y todo lo que salía de su empresa, facturas, propuestas, avisos, iba a parar a un servidor que no era el suyo. La cara de ese tipo, laburante, con 15 años de negocio, fue la misma que vi mil veces en la fintech: no sabía que con dos o tres configuraciones simples esto se podía evitar.
Mirá, proteger tu dominio y tu correo profesional no es un lujo de empresa grande. Es orden. Y en criollo, se hace así, en este orden.
Primero: el doble factor en la cuenta donde manejás el dominio
Si te secuestran el dominio, te secuestran la identidad digital del negocio. Por eso, el primer candado va en el registro de dominios. La guía del CERT Argentina es clara: activá la autenticación de dos pasos en la cuenta del proveedor donde compraste el dominio. No alcanza con una contraseña larga. Necesitás ese segundo paso, el código que te llega al teléfono o a una app.
Y ojo, esto también aplica a la casilla de correo principal. Si un atacante entra a tu Gmail de trabajo, puede pedir un cambio de contraseña en el registro de dominios y listo, te lo roba. Por eso, el doble factor en Gmail del negocio es la primera defensa que te ordena. No lo saltees.
Segundo: autenticá tus correos con SPF, DKIM y DMARC
Esto suena a jerigonza, pero te lo simplifico. Son tres registros DNS que le dicen al mundo: «los mails de mi dominio salen solo de acá». Si no los tenés, cualquiera puede mandar correos a nombre de tu empresa. Y eso es phishing, y eso te destruye la reputación.
La AAIP en su sección de seguridad de dominios recomienda configurarlos. No es un bardo: en el panel de tu proveedor de dominio, buscá la parte de DNS y agregá los registros que te da tu servicio de correo (Gmail, Zoho, lo que uses). Si no sabés cómo, el soporte de tu proveedor de correo te pasa el dato exacto. Es una hora de laburo que te ahorra un dolor de cabeza gigante.
Tercero: contraseñas robustas y un gestor para no volverte loco
Te juro que vi el desastre del Excel compartido con las claves. Es la puerta giratoria para el secuestro. La ENACOM, en sus lineamientos de seguridad de la información, habla de políticas de contraseñas robustas. Y robusta no es «Marta2023». Es una frase larga, única para cada cuenta, guardada en un gestor de contraseñas. Hay gratis y muy buenos. Usalos.
Esto va de la mano con manejar los accesos cuando tu negocio crece y suma gente. Si tenés un empleado que se va, la primera regla es sacarle el acceso a todo. Con un gestor, eso es un clic. Sin gestor, es una novela.
Cuarto: las plataformas que usás también tienen su candado
Si vendés por redes o cobrás con billeteras virtuales, el correo asociado es la llave maestra. Por eso, el centro de ayuda de Meta explica cómo activar la autenticación en dos pasos en Facebook Business y verificar los dominios de correo para evitar suplantación. Y Mercado Pago, en su guía oficial de seguridad, te pide lo mismo: verificación en dos pasos y proteger el correo asociado. No es casualidad. Es la regla de oro de todas las plataformas serias.
Si te hackean el correo, te hackean la cuenta de la billetera, la de la red social, la del banco. Todo. Porque todas las recuperaciones de contraseña caen a ese mail.
Quinto: renová el dominio antes de que expire
Esto parece una boludez, pero lo vi pasar. Un dominio que vence y no se renueva a tiempo queda liberado. Y hay bots que lo compran al toque. Después, para recuperarlo, es un juicio. Poné la renovación automática y una alerta en el calendario. Es un minuto que te ahorra un problema de meses.
¿Qué es exactamente un secuestro de dominio?
Es cuando un atacante toma control de tu nombre de dominio. Puede ser robando la contraseña de tu cuenta en el registrador, o aprovechando que el dominio venció. Con eso, redirigen tu web y tu correo a servidores que controlan ellos.
¿Cómo me doy cuenta de que me secuestraron el correo?
Señales: no podés entrar con tu contraseña, tus clientes te dicen que reciben mails raros a tu nombre, o tu web no carga. Si te pasa algo de esto, entrá YA al panel de tu registrador de dominio y cambiá la contraseña. Después, activá el doble factor si no lo tenías.
¿SPF, DKIM y DMARC son difíciles de configurar?
No. Son tres registros DNS que se agregan desde el panel de tu proveedor de dominio. Tu servicio de correo (Gmail, Outlook, etc.) te da los valores exactos. Si te trabás, el soporte de tu proveedor de correo te guía. Es una hora de laburo, no más.
¿El doble factor molesta mucho en el día a día?
Un poquito, sí. Pero es como el cinturón de seguridad: te salva la vida una vez y ya con eso vale. La molestia de 5 segundos por día es nada comparado con perder el dominio del negocio.
¿Qué hago si ya me secuestraron el dominio?
Primero, contactá a tu registrador de dominios por su canal oficial de soporte, ya. Después, denunciá en la fiscalía correspondiente. Y mientras tanto, avisá a tus clientes por otros medios (WhatsApp, redes) que no respondan mails de tu dominio hasta que lo recuperes. No te prometo magia, pero actuar rápido es la mitad de la batalla.
Esta semana, sentate 20 minutos y activá el doble factor en la cuenta del registro de tu dominio y en la casilla de correo principal. Después, fijate si tenés SPF, DKIM y DMARC. Con eso solo, ya le pusiste tres candados a la puerta. El dato de tu cliente es prestado, no tuyo. Y tu dominio es la puerta de entrada a ese dato. Ordená esto y dormí tranquila. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
