¿Recibes notificaciones de múltiples intentos de conexión IMAP procedentes de Rusia y Brasil en tu cuenta Microsoft? A continuación descubrirás por qué sucede, cómo comprobar si tu buzón ha sido vulnerado y las medidas completas para bloquear esos ataques antes de que causen daños.

La raíz del problema 

Los registros de actividad de Outlook.com, Microsoft 365 y las antiguas cuentas Hotmail muestran a menudo la procedencia geográfica de cada intento de inicio de sesión. Cuando aparecen ubicaciones inesperadas (Moscú, São Paulo, Samara, Brasília, etc.) casi siempre se trata de bots que prueban listas masivas de direcciones filtradas; buscan contraseñas débiles o reutilizadas para sincronizar el buzón mediante IMAP. IMAP sigue siendo un protocolo muy utilizado por scripts automatizados porque carece de verificación multifactor en la mayoría de clientes clásicos y acepta credenciales básicas sin OAuth.

Aunque resulta inquietante, el mero hecho de ver cientos de “Sincronización fallida” no significa que hayan accedido a tu correo: solo indica que algún programa externo consiguió tu dirección y está tanteando la contraseña. Tu prioridad, por tanto, es impedir que el ataque evolucione hasta un inicio de sesión correcto.

Cómo identificar si hubo intrusión real 

• Mira la marca de tiempo. ¿Observas un evento marcado como “Correcto” o “Éxito” tras varios “Error de contraseña”? Si todos los intentos siguen etiquetados como “Incorrecto” o “Sin respuesta”, la protección de Microsoft ha bloqueado los accesos.
• Revisa el agente de aplicación. Las conexiones IMAP suelen describirse como “Other clients” o mostrar cadenas genéricas; un inicio de sesión legítimo desde tu móvil aparecerá con el nombre de la app (Outlook para iOS, Mail de Android, etc.).
• Comprueba los cambios de seguridad recientes. En la pestaña Seguridad & privacidad (cuenta.microsoft.com) verás si alguien añadió reenvíos automáticos, creó reglas de bandeja de entrada o modificó tu número de teléfono. Cualquier modificación sin tu acción puede indicar compromiso.

Cerrar la puerta a las sesiones activas 

Aunque ningún bot haya acertado la contraseña todavía, conviene forzar la expulsión de todas las credenciales almacenadas en caché. Microsoft ofrece la opción Cerrar sesión en todos los dispositivos, accesible desde la sección Opciones de seguridad avanzadas. Este comando invalida las cookies y los tokens de refresco en menos de 24 horas y obliga a todo dispositivo a reintroducir la clave. Si un atacante hubiera logrado la contraseña mientras leías este artículo, su sesión caducará enseguida.

1. Inicia sesión desde un dispositivo de confianza.
2. Navega a Seguridad > Opciones avanzadas.
3. Selecciona Cerrar sesión en todas partes y confirma.
4. Reingresa tú mismo la contraseña en tus equipos para restablecer tus propias sesiones legítimas.

Supervisa la actividad durante los próximos 30 días 

Los dashboards de Microsoft conservan un histórico completo de ubicaciones, IPs, sistemas operativos y protocolos. Visítalos a diario tras el incidente inicial:

• Actividad de inicio de sesión. Fíjate en patrones nuevos (hora inusual, país exótico, tipo de autenticación).
• Alertas de seguridad. Microsoft envía correos de advertencia cuando detecta inicios sospechosos, pero revisa la carpeta Correo no deseado para asegurarte de no descartarlos por error.
• Registros de reenvío automático. Los intrusos acostumbran a reenviar los mensajes a su propio correo para espiar conversaciones sin levantar sospechas.

Por qué crear un alias puede frenar los ataques 

Los credential stuffers (programas que prueban credenciales públicas) trabajan con listas estáticas. Si deshabilitas temporalmente la dirección atacada y la sustituyes por un alias nuevo, los escáneres recibirán la respuesta “La cuenta no existe” y normalmente retirarán tu identificador de la lista, reduciendo drásticamente los intentos. El proceso es reversible y no afecta a tus mensajes ni a tu suscripción de Microsoft 365.

1. Desde Gestionar la forma en que inicias sesión en Microsoft, selecciona Añadir correo electrónico.
2. Escribe una nueva dirección @outlook.com o @hotmail.com y confírmala.
3. Marcarla como Alias principal.
4. Desmarca la casilla Puedo iniciar sesión con… junto a la dirección original.
5. Espera entre 72 y 120 horas y comprueba que no aparezcan intentos desde Rusia o Brasil.
6. Si todo está estable, decide si mantienes el alias nuevo como definitivo o reactiva el anterior (pero solo tras reforzar contraseñas y MFA).

Ventajas añadidas de usar alias

• Evitas exponer públicamente la dirección histórica, que quizá ya circula en filtraciones antiguas.
• Puedes asignar alias diferentes para compras online, redes sociales y banca, aislando cada vector de ataque.
• El alias principal es totalmente transparente para contactos: llega y envía correos con normalidad.

Fortalece tu contraseña antes de nada 

Una contraseña robusta es aquello que impide que los ataques IMAP pasen del estado “fallido” al “correcto”. Sigue estas directrices:

• Longitud mínima de 14 caracteres; combina mayúsculas, minúsculas, números y símbolos.
• No reutilices claves; emplea un gestor de contraseñas confiable para generar cadenas únicas.
• Evita patrones previsibles: fechas de cumpleaños, caracteres repetidos o sustituciones básicas como “Pa$$w0rd”.
• Actualiza la clave cada 6 – 12 meses o tras cualquier incidente de seguridad.

Activa la verificación en dos pasos (MFA) 

Con MFA, incluso si un atacante acierta la contraseña, necesitará un segundo factor (código temporal, notificación en Authenticator, llave FIDO2). Esto bloquea la mayoría de intentos masivos porque los scripts automáticos no pueden interactuar con el dispositivo físico.

Pasos básicos:

1. Accede a Opciones de seguridad avanzadas.
2. Selecciona Activar verificación en dos pasos.
3. Descarga la app Microsoft Authenticator en tu móvil o registra una llave de seguridad estándar.
4. Completa los códigos de respaldo: imprímelos y guárdalos fuera de línea.

Deshabilita protocolos heredados (IMAP y POP) cuando sea posible 

Los clientes modernos de Outlook, la app de Correo de Windows 11 y la interfaz web utilizan OAuth 2.0 y Exchange Web Services, los cuales respetan MFA. IMAP y POP, en cambio, solo aceptan usuarios y contraseñas básicas. Si tus dispositivos ya trabajan con Exchange o ActiveSync, puedes desactivar por completo IMAP y POP:

1. Inicia sesión en Información de la cuenta > Seguridad de la aplicación.
2. Busca Aplicaciones y protocolos con autenticación básica.
3. Desmarca IMAP y POP.
4. Guarda los cambios.

En organizaciones empresariales, el administrador de Microsoft 365 puede usar PowerShell o el Centro de cumplimiento para forzar el toggle global y auditar quién continúa necesitando protocolos antiguos.

Mantén tu equipo y tu antivirus siempre al día 

Aun cuando el ataque provenga de fuera, un sistema desactualizado multiplica el riesgo de que un troyano robe las nuevas credenciales.

• Activa Windows Update automática.
• Utiliza Microsoft Defender o una suite con reputación probada; verifica las definiciones a diario.
• Configura análisis semanales completos y análisis rápidos cada vez que conectes un USB.

Preguntas frecuentes 

¿Eliminar las sesiones borra mis correos?

No. Cerrar sesión en todas partes solo revoca tokens de acceso. Todos los correos, archivos de OneDrive y notas de OneNote permanecen intactos.

¿Puedo bloquear rangos de IP específicos?

Las cuentas personales no disponen de lista negra de IP, pero endureciendo el inicio de sesión (MFA + alias + contraseña fuerte) el origen geográfico deja de importar: cualquier IP sin segundo factor será bloqueada.

¿Es seguro reactivar la dirección antigua después?

Sí, siempre y cuando la vuelvas a asociar tras comprobar que no existen filtraciones de tu nueva contraseña y mantengas MFA. Muchos usuarios prefieren conservar el alias nuevo porque termina recibiendo menos spam.

¿Cuánto tardan los bots en desistir?

Depende de la lista de credenciales filtradas. Normalmente, tras recibir la respuesta “El buzón no existe” durante tres o cuatro días, los agentes automáticos dejan de insistir.

Tabla resumen para una respuesta rápida 

Medida	Objetivo	Tiempo estimado
Cerrar sesión en todas partes	Invalidar tokens activos	5 min
Revisar actividad reciente	Detectar accesos anómalos	10 min
Crear alias nuevo	Ocultar dirección filtrada	15 min
Cambiar contraseña	Impedir coincidencias de diccionario	10 min
Activar MFA	Bloquear inicios sin segundo factor	10 min
Deshabilitar IMAP/POP	Eliminar vector de ataque heredado	5 min

Conclusión 

Los intentos de sincronización IMAP desde Rusia, Brasil o cualquier otro país son, en la mayoría de los casos, el ruido habitual de Internet. Sin embargo, ignorarlos puede desembocar en filtraciones costosas cuando el atacante al fin acierta una contraseña reutilizada. La combinación de alias nuevo, contraseña robusta, MFA, sesiones revocadas y protocolos seguros crea un muro multilayer que frustra el 99 % de estos asaltos automatizados. Dedica hoy media hora a aplicar los pasos descritos y duerme tranquilo sabiendo que tu correo, tus archivos y, en última instancia, tu identidad digital están mejor protegidos.