Perder el dominio de la empresa: el riesgo que nadie mira

Imagina despertar un martes y que el sitio de tu empresa no abra. El correo tampoco. Entras al panel del registrador y la contraseña no funciona. Alguien llamó al soporte, dijo que era tú, y el agente le creyó. Perder el dominio de la empresa así no es una película, es una historia que apareció en Hacker News hace poco: un usuario contó que Namecheap transfirió el control de su cuenta a un tercero que ni siquiera pasó una verificación completa.

El detalle cruel es ese. No hubo intrusión. No hubo contraseña filtrada. No hubo malware. Hubo un ser humano del otro lado del chat haciendo clic en "aprobar".

Qué pasó, en palabras simples

La persona tenía una cuenta antigua en un registrador de dominios. Un tercero contactó al soporte alegando ser el dueño. Presentó información parcial. El soporte pidió documentos, recibió algo que parecía razonable, y liberó el acceso.

Del otro lado, el dueño real se quedó sin nada. Dominio, DNS, correos apuntando al dominio, todo. Y ahí empezó la peor parte: probar que tú eres tú ante una empresa que ya decidió que otra persona es tú.

La autenticación de dos factores no salva en ese escenario. Una contraseña fuerte no salva. Un gestor de contraseñas no salva. Porque el ataque no pasó por la puerta principal. Pasó por el mostrador de atención.

Tu seguridad digital es tan fuerte como el agente más cansado del soporte de tu proveedor.

Por qué esto es problema del dueño del negocio, no de TI

Porque el dominio no es un detalle técnico. Es la dirección de tu empresa.

Piensa en lo que cuelga de él:

• El sitio, obvio.
• Los correos corporativos (contacto@, finanzas@, tú@).
• La recuperación de contraseña de prácticamente todo el SaaS que usas. Banco, CRM, sistema de facturación, Google Workspace, Meta Business.

Ese último punto es el que mata. Quien controla tu correo controla el "olvidé mi contraseña" de todo. Perder el dominio no es perder un sitio. Es perder la llave maestra.

Ya vi a una empresa con buena facturación descubrir que el dominio estaba registrado a nombre personal de un becario que se fue en 2019. Y el correo de contacto del dominio era su Hotmail personal. Nadie durmió bien esa semana.

Tú no controlas su soporte, pero controlas tres cosas

No puedes auditar el entrenamiento del soporte de cada proveedor. Entonces el juego cambia: en vez de intentar impedir el fallo, reduces el daño cuando ocurre.

1. Separa el correo de recuperación del dominio.

Si el correo registrado en el registrador es tú@tuempresa.com, y la empresa pierde el dominio, pierdes el correo que usarías para recuperar el dominio. Es un nudo ciego. El correo de contacto del registrador tiene que estar en otro proveedor, con otro dominio. Un Gmail dedicado, usado solo para eso, resuelve.

2. Bloquea el dominio.

Todo registrador serio ofrece "registrar lock" o bloqueo de transferencia. Algunos ofrecen bloqueo de 60 días tras cambios. Actívalo. Es un clic y bloquea la salida automática del dominio hacia otro registrador.

3. Guarda la prueba de que el dominio es tuyo.

Factura de compra original, correo de confirmación del registro, comprobante de pago, datos fiscales de la empresa en el registro. Un PDF en una carpeta. Si llega el día malo, no vas a estar buscando eso a las tres de la mañana.

La prueba de diez minutos que casi nadie hace

Siéntate con un café y responde por escrito:

• ¿Dónde está registrado el dominio de tu empresa? Qué empresa, qué login.
• ¿Quién tiene acceso a ese panel hoy? Nombre y nombre, no "la gente de TI".
• ¿El correo registrado ahí todavía existe y alguien lo lee?
• Si esa persona desapareciera mañana, ¿podrías entrar?
• ¿Quién paga la renovación? ¿Tarjeta de quién? ¿Esa tarjeta sigue válida?

Si te trabaste en dos de esas, encontraste un problema real. Y es un problema barato de resolver hoy y carísimo de resolver después.

La última pregunta es una trampa simpática. Ya vi un dominio expirar porque la tarjeta del socio que se fue fue cancelada y el correo de aviso llegaba a un buzón que nadie abría. El ataque ni necesitó existir. La empresa lo hizo sola.

"Pero esto es raro, no voy a perder tiempo con eso"

Es raro, de verdad. Ahí está la trampa.

Las cosas raras con impacto altísimo son exactamente las que nadie prepara, porque la probabilidad parece justificar la pereza. Solo que el costo no es proporcional. Perder un día de sitio es molesto. Perder el dominio por tres semanas mientras peleas con un soporte en otra zona horaria es perder facturación, perder clientes y explicarle a todo el mundo que "no, no cerramos".

Y está el efecto colateral que nadie cuenta: durante esos días, quien tiene tu dominio puede mandar correos como tú. A tus clientes. Pidiendo pago en otra cuenta.

No estoy diciendo que vivas con miedo. Estoy diciendo que media hora de organización compra un seguro que probablemente nunca vas a usar. Es como el backup. Aburrido hasta el día en que es la mejor decisión de tu vida.

El patrón mayor: ¿quién es el dueño de tus cuentas?

El dominio es el caso más dramático, pero el mismo razonamiento vale para el resto de tu SaaS.

Haz una lista de las cuentas que, si desaparecieran, pararían la operación. Normalmente son unas seis a diez: registrador de dominio, proveedor de correo, hosting, pasarela de pago, CRM, herramienta de envíos, gestor de anuncios, sistema fiscal.

Para cada una, tres columnas: quién es el titular, cuál es el correo de acceso, y quién puede recuperarla si el titular desaparece. Una hoja de cálculo simple. Toma una tarde.

Lo que vas a encontrar es previsible y siempre incomoda: la mitad de las cuentas está a nombre de alguien que ya no decide nada en la empresa, y tres de ellas usan el mismo correo personal de 2017. Esa hoja, sola, ya vale más que muchas consultorías de seguridad.

Después de eso viene la parte buena. Cuentas críticas con titularidad a nombre de la empresa. Correos de acceso en direcciones de la empresa, con una dirección externa de emergencia. Acceso por perfil, no por "contraseña compartida en el WhatsApp del equipo". Nada de esto es caro. Es solo lo bastante aburrido para nunca volverse prioridad.

Si leíste hasta aquí y te quedó esa incomodidad de "creo que estamos expuestos", probablemente lo estás. Es el tipo de cosa que me gusta resolver con el cliente antes de tocar una sola línea de código, porque de nada sirve tener un sitio bonito corriendo sobre una base que cualquier agente distraído puede tumbar.

¿Quieres una segunda opinión sobre cómo están organizadas tus cuentas críticas? Escríbeme para conversar.

He perdido la cuenta de cuántas empresas descubrieron que el dominio estaba a nombre personal de un becario que se fue en 2019.

Hubo un caso en Hacker News: un tipo perdió su dominio porque alguien llamó al soporte del registrador, dijo que era él, y el agente lo aprobó. Sin intrusión. Sin contraseña filtrada.

El 2FA no salva en ese escenario. Porque el ataque no pasó por la puerta principal, pasó por el mostrador de atención.

Y el dominio no es un detalle técnico. Es la llave maestra: quien controla tu correo controla el "olvidé mi contraseña" del banco, del CRM, de Google Workspace, de todo.

Prueba de 10 minutos: ¿sabes dónde está registrado el dominio, quién tiene acceso al panel hoy y de quién es la tarjeta que paga la renovación? Si te trabaste en dos de esas, encontraste un problema real.

Barato de resolver hoy. Carísimo después.

Si te llegó esa incomodidad de "creo que estamos expuestos", escríbeme. Es el tipo de conversación que prefiero tener antes del incidente.

#SeguridadDigital #GestiónDeTI #PequeñasEmpresas #Tecnología #ContinuidadDelNegocio