Microsoft devolvió la cuenta de mi hijo. No debería haber hecho falta 60.000 visitas.

La cronología cuenta la historia

Contacté por primera vez con Microsoft por el secuestro de la cuenta el 13 de agosto de 2026.

El 14 de agosto, el equipo de soporte original me envió esto:

Si responde a este correo en los próximos 7 días con información adicional, estaré encantado de continuar mi investigación.

Así que hice exactamente eso. El 15 de agosto, apenas un día después, respondí con una montaña de información y pruebas adicionales. Después no supe nada más: ni preguntas de seguimiento, ni explicaciones, ni confirmación de que la investigación hubiera continuado. El equipo simplemente dejó de comunicarse conmigo.

Ese silencio duró hasta el 4 de septiembre, cuando por fin recibí esta respuesta:

Esta solicitud de servicio ya ha sido resuelta y cerrada. Estaremos encantados de ayudarle con su nueva solicitud; sin embargo, no puedo reabrir esta solicitud de servicio cerrada. Debe crear una nueva solicitud de servicio contactando con el soporte de Microsoft, y alguien le atenderá con gusto.

Fue asombroso. Me habían dicho explícitamente que si respondía en un plazo de siete días con más información, la investigación continuaría. Respondí en un día. En cambio, el caso se cerró al parecer sin que yo lo supiera, y me ignoraron durante casi tres semanas antes de decirme que empezara de cero.

Respondí señalando la contradicción. Microsoft me había pedido más pruebas, había prometido seguir investigando si las aportaba en siete días, las recibió en un día, y aun así cerró el ticket en silencio. Pregunté por qué y nunca obtuve respuesta.

Esa parte de la historia sigue siendo completamente inaceptable. Las personas que sufren un secuestro de cuenta ya están en una situación estresante. Cerrar una investigación en silencio después de decirle explícitamente a alguien que tiene un plazo para enviar más pruebas, y luego no explicar qué ocurrió, no es la forma en que debería funcionar un proceso de seguridad o de atención al cliente.

Mientras tanto, LinkedIn funcionó mejor que el soporte de Microsoft

Mientras el equipo de soporte original seguía en silencio, el 1 de septiembre noté que un empleado de Microsoft con un cargo bastante alto en la organización había visto mi perfil de LinkedIn. Dado el momento y la atención que había recibido el artículo original, tenía una buena idea de por qué. Le escribí directamente y le pregunté si estaba mirando mi perfil por el artículo. Respondió ese mismo día: sí.

Empezamos a comunicarnos por LinkedIn, y fue extraordinariamente útil. Me puso en contacto con un equipo de escalado dentro de Microsoft, y el proceso de recuperación volvió a empezar. Estructuralmente, el proceso de escalado no fue muy distinto del que ya había pasado. Hacían preguntas, yo aportaba pruebas, y revisaban la información de la cuenta para determinar quién era el propietario legítimo.

Pero había una diferencia enorme: esta vez, parecía que alguien realmente evaluaba las pruebas que le estaba dando. Fueron receptivos, se comunicaron conmigo, hicieron preguntas de seguimiento y parecían tener en cuenta el historial de la cuenta y la información que aporté, en lugar de tratar el caso como una lista de verificación binaria.

Y el 7 de septiembre de 2026 la cuenta fue restaurada. Seis días después de contactar con el empleado de Microsoft en LinkedIn. Veinticinco días después de contactar por primera vez con el soporte de Microsoft. ¡Yuju!

El equipo de escalado fue excelente

Quiero ser claro en este punto, porque sería injusto meter a todo Microsoft en el mismo saco. Las personas que finalmente me ayudaron fueron estupendas. El empleado de Microsoft con el que conecté a través de LinkedIn fue amable, receptivo y realmente interesado en entender qué había pasado. El equipo de escalado se tomó la situación en serio y al final llegó al resultado correcto.

Incluso dedicamos tiempo a intentar entender cómo se comprometió la cuenta en primer lugar. Esa sigue siendo la mayor pregunta sin respuesta. Como soy principalmente usuario de Mac y no paso ni de lejos tanto tiempo administrando máquinas Windows, el contacto de Microsoft me dio algunas sugerencias para investigar el ordenador de mi hijo. A partir de ahí, usé ChatGPT para profundizar bastante más: examinar la máquina Windows, revisar la configuración de seguridad, buscar mecanismos de persistencia, comprobar si había software sospechoso y buscar pruebas de que el propio ordenador hubiera sido comprometido.

Hasta ahora no he encontrado nada: ni malware evidente, ni una herramienta clara de acceso remoto, ni pruebas de que alguien tuviera control persistente de la máquina, ni nada que explique limpiamente el secuestro. Eso hace cada vez más probable alguna forma de ingeniería social, aunque sigo sin poder demostrar exactamente qué ocurrió. Mi hijo no recuerda haber hecho nada que lo explique de forma obvia, y los datos disponibles de la cuenta no me han dado suficiente información para reconstruir el ataque de manera concluyente. Sigo investigando.

La cuenta ha vuelto. Y ahora es mucho más difícil de robar.

Una vez recuperado el acceso, reforcé la cuenta considerablemente. Más importante aún, mi hijo y yo tuvimos una conversación larga y muy directa sobre las estafas modernas. Esto es algo que creo que los padres de niños con soltura técnica pueden subestimar: saber usar ordenadores no es lo mismo que entender el comportamiento adversario en internet.

Los niños pasan muchísimo tiempo en entornos donde desconocidos les piden habitualmente que:

• Inicien sesión en sitios web.
• Se unan a servidores de Discord.
• Instalen mods o utilidades.
• Escaneen códigos QR.
• Autentiquen cuentas de juegos.
• Introduzcan códigos de verificación.
• Sigan enlaces enviados por chat.
• Conecten identidades de Microsoft, Google, Steam, Xbox, Roblox u otras a servicios de terceros.

La mayoría de esas interacciones son perfectamente legítimas. A un atacante le basta con una que no lo sea. Así que estamos cambiando cómo funciona la autenticación en nuestra casa. Mi hijo va a usar ahora un gestor de contraseñas de forma exclusiva para sus credenciales. Si una contraseña no está en el gestor, no debería estar escribiéndola. Si el gestor de contraseñas no reconoce un sitio como perteneciente a la credencial que espera usar, eso debería ser de inmediato una señal de que algo va mal.

Eso no elimina el phishing ni la ingeniería social, pero reduce drásticamente la cantidad de manejo manual de credenciales y reduce nuestra superficie de ataque. También hemos reforzado los mecanismos de recuperación y la autenticación siempre que ha sido posible.

Pero aquí hay un problema mayor

Obviamente estoy contento con el resultado. Mi hijo tiene su cuenta de vuelta, las personas del equipo de escalado de Microsoft fueron realmente útiles, y alguien dentro de Microsoft se preocupó lo suficiente por la situación como para implicarse personalmente. Pero no dejo de volver a una pregunta incómoda: ¿Qué habría pasado si mi artículo hubiera tenido 60 visitas en lugar de 60.000?

El proceso de soporte normal:

• 13 de agosto: contacto con Microsoft.
• 14 de agosto: Microsoft me pide más pruebas y dice explícitamente que seguirá investigando si respondo en siete días.
• 15 de agosto: aporto abundantes pruebas adicionales.
• 15 de agosto a 4 de septiembre: silencio.
• 4 de septiembre: Microsoft me dice que el caso ya estaba cerrado y que tengo que empezar de cero.

El proceso de escalado:

• 1 de septiembre: noto que un empleado de Microsoft ha visto mi perfil de LinkedIn y le escribo.
• 1 de septiembre: responde y empieza a ponerme en contacto con las personas adecuadas.
• 7 de septiembre: Microsoft restaura la cuenta.

La vía de escalado resolvió en seis días lo que el proceso de soporte ordinario no logró resolver en más de tres semanas. Esa es la verdadera historia. Dio la casualidad de que yo tenía una plataforma. La historia se difundió. Alguien dentro de Microsoft se fijó, miró mi perfil de LinkedIn, y dio la casualidad de que yo lo noté. Le escribí, respondió, sabía a quién contactar internamente, y al final la cuenta fue restaurada.

Es una cadena de acontecimientos notablemente específica, y nada de ello debería haber sido necesario. Las pruebas que di al equipo de escalado no eran mágicamente distintas porque un empleado de Microsoft hubiera visto mi artículo. Yo seguía siendo el mismo padre. Seguía siendo la misma cuenta. El historial de la cuenta seguía siendo el mismo. Las circunstancias del secuestro seguían siendo las mismas. Lo que cambió fue que alguien dentro de Microsoft con capacidad para moverse por la organización se interesó por el caso.

Eso me preocupa mucho más que si mi historia en particular tuvo un final feliz. Un sistema de recuperación de seguridad tiene que funcionar para la persona que no tiene un blog, que no tiene 60.000 personas leyendo su historia, que no puede encontrar a un empleado de Microsoft en LinkedIn y que no tiene la formación técnica para reconstruir historiales de inicio de sesión y eventos de seguridad. Tiene que funcionar cuando nadie importante está mirando.

La recuperación de cuentas forma parte del modelo de seguridad

Mi crítica original a la recuperación de cuentas de Microsoft no ha cambiado en lo fundamental. La recuperación de cuentas no es simple atención al cliente. Es un sistema de seguridad. Las empresas dedican un enorme esfuerzo de ingeniería a proteger la puerta principal con passkeys, MFA, análisis de comportamiento, detección de inicios de sesión sospechosos, huellas de dispositivo, puntuación de riesgo y sistemas de autenticación cada vez más sofisticados. Pero en algún momento alguien pierde el acceso, y en ese instante el proceso de recuperación de cuentas se convierte, en la práctica, en el sistema de autenticación.

Tiene que responder a una pregunta extraordinariamente difícil: ¿Quién debería controlar esta cuenta? Equivocarse en cualquiera de las dos direcciones es desastroso. Si la recuperación es demasiado fácil, los atacantes pueden robar cuentas a través del soporte al cliente. Si es demasiado rígida, los propietarios legítimos pueden perder para siempre cuentas que contienen años de compras, correos, archivos, historial de juegos, identidades, suscripciones y datos familiares.

Es un problema de ingeniería difícil. Pero «problema difícil» no puede convertirse en excusa para un sistema en el que el mejor camino hacia una recuperación exitosa es generar suficiente atención pública para que alguien con peso dentro de la empresa se fije en ti.

Microsoft acabó haciendo lo correcto

Quiero terminar esta actualización de forma distinta a la primera. Microsoft finalmente resolvió el problema. Las personas que me ayudaron fueron profesionales, empáticas y eficaces. Agradezco al empleado de Microsoft que vio mi artículo, respondió a un desconocido en LinkedIn y ayudó personalmente a encauzar esto dentro de la empresa. Agradezco al equipo de escalado que volvió a revisar las pruebas y restauró la cuenta de mi hijo. Merecen reconocimiento por ello.

Pero el hecho de que el escalado funcionara también demuestra algo importante: la cuenta era recuperable. Microsoft tenía información suficiente para determinar que mi hijo era el propietario legítimo. El problema era conseguir que el caso llegara a un proceso capaz de tomar esa decisión.

Esa es la parte que Microsoft todavía tiene que arreglar, porque el siguiente padre puede no tener un artículo viral. Y recuperar la cuenta de tu hijo no debería requerir uno.