Cuentas de correo comprometidas en WHM
Una cuenta de correo comprometida es una de las principales fuentes de spam en servidores cPanel. Detectarla y actuar rápido es crítico para proteger la reputación del IP.
Señales de una cuenta comprometida
- Cola de correo inusualmente grande (miles de mensajes).
- Alta carga en el servidor sin razón aparente.
- Alertas de IP en listas negras (blacklists).
- Correos de rebote masivos en la bandeja de entrada de la cuenta.
Identificar la cuenta comprometida
# Ver las IPs más activas en el log de Exim
grep "from=" /var/log/exim_mainlog | awk -F'from=' '{print $2}' | awk '{print $1}' | sort | uniq -c | sort -rn | head -20
Acciones de remediación
- Cambiar inmediatamente la contraseña de la cuenta comprometida.
- Limpiar la cola de correo de los mensajes pendientes de esa cuenta.
- Revisar los scripts PHP del dominio en busca de formularios de contacto vulnerables o shells de spam.
- Verificar el .htaccess por redirecciones no autorizadas.
- Revisar los logs de acceso para identificar el vector de ataque.
- Solicitar eliminación de blacklists si la IP fue listada.
