Correos falsos de cPanel y Webmail: "tu buzón está lleno" y otros engaños

Cómo es el engaño

El atacante sabe que la víctima usa correo en un servidor cPanel porque lo ve en los registros MX o en la dirección del Webmail. Con eso arma un correo que parece un aviso técnico del propio servidor. Las variantes más frecuentes:

El enlace lleva a una página que copia el inicio de sesión de Webmail, Roundcube o cPanel. Muchas cargan el logo de tu empresa a partir del dominio y muestran tu dirección ya escrita, porque viene dentro del propio enlace. Así la víctima solo tiene que escribir la contraseña.

Cómo reconocer un aviso falso

• El remitente no es tu servidor. Los avisos de cuota reales de cPanel los envía tu propio servidor. Un aviso "del administrador de correo" que viene de otro dominio es falso, aunque el nombre visible diga "cPanel" o "Webmail".
• El enlace no lleva a tu dominio. El Webmail real está en https://webmail.tudominio.cl, https://tudominio.cl:2096 o la dirección que te dio tu proveedor. Las copias suelen estar en sitios web hackeados, servicios de formularios o almacenamiento en la nube.
• Te piden la contraseña. Ningún aviso de cuota necesita que inicies sesión desde un enlace. Para ver el espacio usado, entra al Webmail escribiendo la dirección tú mismo.
• Hay urgencia. "En 24 horas su cuenta será desactivada" es la presión típica para que no te detengas a pensar.
• El diseño mezcla marcas. Logos de cPanel, Roundcube y Microsoft en el mismo correo, o una "versión" de cPanel que no existe.

Si tienes dudas sobre un correo concreto, revisa sus encabezados: el campo Received muestra desde qué servidor llegó y el resultado de SPF y DKIM dice si el dominio remitente lo autorizó. Lo explicamos en cómo leer los encabezados de un correo.

Por qué estos correos pasan los filtros

Este phishing está pensado para evitar al antispam básico de cPanel:

• Se envía desde cuentas reales comprometidas, con buena reputación, SPF y DKIM válidos. Las RBL y el greylisting no tienen nada que objetar.
• El texto es corto y técnico, sin las palabras que puntúan alto en SpamAssassin.
• El enlace apunta a un sitio legítimo hackeado o a un servicio conocido, que no está en ninguna lista de bloqueo el día del ataque.
• La página falsa aparece después. Algunas campañas activan la página horas después del envío o muestran contenido inocente a los analizadores automáticos.

Por eso, para detectarlo hay que analizar a dónde lleva el enlace y qué muestra esa página, no solo quién envía el correo. Más sobre esta técnica en phishing de credenciales.

Qué hacer si alguien ingresó su contraseña

Actúa en la primera hora. El atacante suele entrar al buzón en minutos para leer correos, preparar un fraude BEC o usarlo para enviar el mismo phishing a todos los contactos.

1. Cambia la contraseña desde cPanel › Correo › Cuentas de correo, con una nueva y única. Si la misma contraseña se usaba en otros servicios, cámbiala también ahí.
2. Revisa los reenviadores en cPanel › Correo › Reenviadores y borra los que no reconozcas.
3. Revisa los filtros de la cuenta en Filtros de correo. Un filtro que borra o mueve correos con palabras como "factura", "pago" o "contraseña" es una señal clara.
4. Revisa la respuesta automática y la firma, que algunos atacantes cambian para incluir enlaces.
5. Mira qué envió la cuenta en cPanel › Correo › Track Delivery, filtrando por la dirección.
6. Avisa a los contactos si la cuenta envió correos, para que no abran los enlaces.

Si la cuenta ya está enviando spam o la IP del servidor terminó en listas negras, sigue cuenta de correo comprometida: cómo detectarla y detener el spam.

Para el administrador: encontrar la campaña en todo el servidor

Si una persona recibió el correo, probablemente lo recibieron varias. Busca el asunto en el log de Exim para ver a quién llegó y elimínalo de los buzones antes de que otro haga clic:

# Mensajes recibidos con ese asunto (cPanel registra el asunto en el log)
grep 'T="Su buz' /var/log/exim_mainlog | grep "<=" | awk '{print $3, $5}'

# Destinatarios de un mensaje concreto
exigrep ID_DEL_MENSAJE /var/log/exim_mainlog | grep "=>"

# Buscar y eliminar el correo de un buzón
doveadm search -u usuario@dominio.cl mailbox INBOX subject "Su buzón"
doveadm expunge -u usuario@dominio.cl mailbox INBOX subject "Su buzón"

Antes de borrar, revisa con doveadm search que el criterio solo encuentra el phishing. Un asunto demasiado genérico puede coincidir con correos legítimos.

Después, busca inicios de sesión desde IPs extrañas en las cuentas que recibieron el correo, sobre todo desde países donde tu empresa no opera. Los comandos están en fuerza bruta y password spraying contra el correo.

Cómo prevenirlo

• Cuéntale a tu equipo cómo son los avisos reales. Una sola frase evita la mayoría de los casos: "el servidor nunca te pedirá la contraseña por correo".
• Ofrece una forma fácil de reportar un correo sospechoso, como reenviarlo a una dirección del área de TI.
• Activa la autenticación en dos pasos para cPanel y WHM. No cubre el acceso por IMAP o SMTP, pero impide que una contraseña robada abra el panel.
• Limita el envío por hora en WHM, para que una cuenta robada no envíe miles de correos antes de que la detectes.
• Filtra los enlaces del correo entrante con una herramienta que revise la página de destino, que es donde está el engaño.

Preguntas frecuentes