Me hackearon el Outlook y cambiaron el correo de recuperación: cómo recuperarla

La mayoría de las guías sobre este tema te prometen que "en unos minutos" recuperas tu cuenta. Es mentira, o al menos una verdad a medias. Cuando alguien entra en tu Outlook y sustituye el correo y el teléfono de recuperación por los suyos, ya no estás jugando en tu terreno: estás pidiéndole a Microsoft que decida, con las pruebas que tú le des, que la cuenta es tuya y no del que la ocupa ahora mismo.

El error que le cuesta la cuenta a mucha gente

Nada más darse cuenta del hackeo, casi todo el mundo hace lo mismo: va a la pantalla de inicio de sesión y pulsa "¿Olvidaste tu contraseña?". Ese botón manda un código al correo o teléfono de recuperación registrado en ese momento. Y aquí está la trampa: si el atacante ya cambió esos datos, el código le llega a él, no a ti. Le acabas de dar, sin querer, una segunda confirmación de que controla la cuenta.

Lo que hay que hacer en su lugar, desde el primer minuto, es ir directamente al formulario de recuperación de cuenta de Microsoft (se conoce internamente como ACSR) en account.live.com/acsr. Ese formulario no depende del correo ni del teléfono actuales: depende de cuánta información histórica seas capaz de aportar sobre la cuenta.

Con 2FA activo o sin él: dos escenarios muy distintos

Antes de lanzarte a rellenar nada, conviene saber en qué punto de partida estás. No es lo mismo pelear por una cuenta con verificación en dos pasos activa que por una sin ella, y la diferencia es bastante más grande de lo que la mayoría espera.

Sin rodeos: si tenías el segundo factor activado con una app de autenticación y el atacante también consiguió acceso a ese dispositivo o lo desvinculó, estás ante el peor escenario posible. Por eso conviene comparar bien qué app usar antes de que pase nada; hay diferencias reales entre Google Authenticator y Microsoft Authenticator a la hora de recuperar códigos si pierdes el dispositivo, y la mayoría no se entera hasta que ya es tarde.

Cómo rellenar el ACSR sin tirarlo a la basura en el primer intento

Puedes enviar el formulario hasta dos veces al día, y cada respuesta incorrecta no puntúa en tu contra directamente, así que no hay motivo para dejar preguntas en blanco. Aun así, la mayoría de los rechazos se deben a los mismos tres fallos:

1. Usar datos actuales en vez de históricos. Si la cuenta tiene años, Microsoft compara tus respuestas contra lo que introdujiste al crearla o contra estados anteriores, no contra tu situación de hoy. Piensa en contraseñas antiguas, nombres de carpetas que creaste hace tiempo, o el asunto de correos que enviaste hace meses, antes del hackeo.
2. Dar un correo de contacto poco fiable. El formulario pide una dirección alternativa donde puedan escribirte con el resultado. Si pones un correo que revisas una vez al mes, pierdes la ventana de respuesta y tienes que volver a empezar.
3. Rendirse tras el primer "no podemos verificar tu identidad". Es una respuesta automática mucho más de lo que la gente cree. Repetir el envío añadiendo detalles nuevos —otra contraseña que recuerdes, otro contacto de tu libreta de direcciones, la fecha aproximada de creación— cambia el resultado en bastantes casos.

Personalmente, cuando alguien me pregunta por esto, insisto siempre en lo mismo: escribe demasiado, no demasiado poco. Un formulario ACSR bien relleno parece exagerado, con fechas, nombres de contactos frecuentes y hasta el modelo del móvil que usabas para entrar. Ese exceso de detalle es justo lo que lo distingue de un intento fraudulento de otra persona.

Si la cuenta ya no tiene arreglo por esta vía

Hay un matiz que casi nadie cuenta: si el atacante llega a cambiar también la dirección de correo electrónico principal de la cuenta (no solo el de recuperación), Microsoft lo trata como un caso mucho más grave, y el propio formulario puede dejar de aceptar solicitudes para esa cuenta. En ese punto, la única vía que queda es el chat de soporte de Microsoft, explicando la situación a una persona real y rechazando las sugerencias automáticas hasta que te deriven a alguien con capacidad de revisar el caso manualmente.

Ojo con algo importante: mientras tanto, cualquier servicio que tuvieras enlazado a ese correo —redes sociales, banca, otras cuentas de recuperación— queda expuesto. No esperes a resolver el Outlook para empezar a proteger lo demás. Cambia contraseñas en paralelo, no en serie.

Recuperaste la cuenta: por qué el problema no termina ahí

Aquí hay algo que casi ningún artículo menciona y que a mí me parece la parte más importante de todo esto. Recuperar el acceso no significa que hayas expulsado al atacante del todo. Es habitual —y lo digo porque lo he visto pasar más de una vez— que la persona que entró haya dejado una regla de reenvío automático configurada, silenciosa, mandándose a sí misma una copia de cada correo que recibas a partir de ahora. Tú ves tu bandeja normal, todo parece resuelto, y mientras tanto sigue leyendo todo lo que te llega.

Nada más recuperar el acceso, antes incluso de cambiar la foto de perfil o de avisar a tus contactos, revisa tres cosas en este orden: las reglas de reenvío y filtrado en la configuración del correo, las aplicaciones de terceros con permisos concedidos sobre la cuenta, y las sesiones activas en otros dispositivos. Cierra todo lo que no reconozcas sin excepción, aunque el nombre te suene vagamente familiar. Y ya puestos, activa la verificación en dos pasos si no la tenías —sí, con la app de autenticación adecuada, no con SMS si puedes evitarlo, porque el SMS es precisamente uno de los puntos que un atacante decidido puede interceptar con más facilidad.

La verdad es que la mayoría de la gente celebra el "ya he recuperado mi Outlook" y se olvida de este paso. Es el equivalente a cambiar la cerradura de casa después de un robo pero dejar la ventana de atrás abierta porque, total, ya has resuelto lo importante.

Qué hacer en las próximas 24 horas si esto te acaba de pasar

• Ve directo a account.live.com/acsr, no a la pantalla de login normal.
• Reúne antes de empezar: contraseñas antiguas que recuerdes, últimos asuntos de correos enviados, contactos frecuentes, y la fecha aproximada de creación de la cuenta.
• Usa un correo de contacto que revises varias veces al día para la respuesta.
• Si te rechazan el primer intento, espera a poder añadir información nueva antes de reenviar; repetir exactamente lo mismo no cambia el resultado.
• Si tenías verificación en dos pasos y el formulario no avanza, salta directamente al chat de soporte en vez de insistir solo con el formulario.
• Revisa y protege en paralelo cualquier otra cuenta que dependiera de ese correo, aunque el Outlook siga sin recuperarse.

Y si todavía conservas el acceso pero notas movimientos raros —sesiones abiertas que no reconoces, reglas de reenvío que no creaste tú—, no esperes al hackeo completo. Revisa ya mismo si tu cuenta está marcada por actividad inusual y, si perdiste el móvil pero conservas el resto de accesos, el proceso es distinto y más rápido: aquí tienes cómo recuperar el acceso sin tu teléfono habitual. La diferencia entre esos casos y el que hemos visto hoy es simple: ahí la cuenta sigue siendo tuya de fondo, aquí alguien más está compitiendo activamente por quedársela.