Cambio de DNS no autorizado (o de tu MX): cómo detectarlo y qué hacer

Respuesta corta: Si la web o el correo de tu dominio se comportan raro de un día para otro, comprueba con dig los servidores DNS (NS), el MX y el registro A, y compáralos con lo que deberían ser. Si es un cambio de DNS no autorizado (nadie lo pidió), entra en el registrador, cambia la contraseña, activa la doble verificación, restaura los registros y bloquea el dominio. Un MX cambiado significa que alguien puede estar recibiendo tu correo.

Por qué es tan grave un cambio de DNS no autorizado

El DNS de tu dominio decide dónde va todo: la web (registros A y AAAA), el correo (MX), la verificación de servicios (TXT) y quién manda sobre todo lo anterior (NS). Quien controla el DNS controla el dominio. Estos son los cambios que importan:

No siempre es un ataque. Las causas más frecuentes:

• Un cambio legítimo que nadie comunicó: una migración de hosting, el proveedor de correo nuevo, alguien de la agencia que «solo iba a tocar un registro».
• El dominio ha caducado y el registrador lo ha aparcado cambiando los NS. Lo contamos en se te ha caducado el dominio.
• Cuenta del registrador o del panel DNS comprometida: contraseña reutilizada, sin doble verificación, correo de recuperación en un dominio que ya no existe.
• Hosting o panel con acceso compartido donde un tercero tiene más permisos de los que debería.

Cómo saber si te ha pasado

Síntomas

• La web muestra otra cosa, una página de aparcamiento o un error de certificado que antes no había.
• Dejan de llegar correos, o llegan solo algunos.
• Te llegan avisos de «se ha restablecido tu contraseña» que no pediste.
• El proveedor de correo te avisa de que el dominio ya no está verificado.

Comprueba los registros con dig

Pregunta a dos resolvedores públicos distintos para no fiarte de una caché:

dig +short NS tudominio.com @1.1.1.1
dig +short MX tudominio.com @8.8.8.8
dig +short A  tudominio.com @1.1.1.1
dig +short A  www.tudominio.com @1.1.1.1
dig +short TXT tudominio.com @8.8.8.8

Después pregunta directamente a los servidores autoritativos, que es lo que hay de verdad en la zona ahora mismo:

dig +noall +answer MX tudominio.com @ns1.tuproveedordns.com

Si el autoritativo y los públicos no coinciden, lo más probable es que haya un cambio reciente y aún no haya caducado la caché (mira el TTL en la segunda columna de +noall +answer).

Quién es el dueño de esa IP o ese MX

dig +short -x 203.0.113.80
whois 203.0.113.80 | grep -iE 'netname|org-name|country'

Si el MX apunta a un servidor que no reconoces y que no es de tu proveedor de correo, trátalo como incidente.

Mira el registro del dominio

whois tudominio.com | grep -iE 'registrar|updated|expir|status|name server'

Fíjate en la fecha de última actualización y en los servidores DNS. Un cambio de NS en el registrador que nadie pidió es la señal más grave de todas.

Guarda una foto para comparar la próxima vez

Lo ideal es tenerla antes de que pase. Con esto guardas el estado actual en un fichero con fecha:

for t in NS A AAAA MX TXT; do dig +noall +answer "$t" tudominio.com; done > dns-$(date +%F).txt
dig +noall +answer TXT _dmarc.tudominio.com >> dns-$(date +%F).txt
diff dns-2026-10-01.txt dns-$(date +%F).txt

Los TTL cambian entre consultas, así que verás diferencias en esa columna; las que importan son las de nombre, tipo y valor.

Qué hacer si el cambio no fue tuyo

Si confirmas que es un cambio de DNS no autorizado (nadie de tu lado lo hizo), actúa en este orden. La primera hora es la que cuenta.

1. Entra en el registrador y en el panel DNS desde un equipo de confianza. Si no puedes entrar, llama al soporte del registrador: es lo primero, antes que restaurar nada.
2. Cambia la contraseña y activa la doble verificación en el registrador, en el panel DNS (si es otro, como Cloudflare) y en el correo asociado a esas cuentas.
3. Revisa el correo de contacto de la cuenta. Un atacante suele cambiarlo para recibir los avisos. Ponlo en una dirección que no dependa del propio dominio afectado.
4. Restaura los registros: NS, MX, A, SPF, DKIM y DMARC. Si tenías una foto como la de arriba, es ahora cuando la agradeces.
5. Activa el bloqueo de transferencia (registrar lock) y, si tu registrador lo ofrece, el bloqueo reforzado para cambios de NS.
6. Revisa el correo desviado. Si el MX estuvo cambiado, asume que alguien pudo recibir correos. Cambia las contraseñas de los servicios que se puedan restablecer por correo (banca, hosting, redes sociales, la propia cuenta de WordPress) y revisa reglas de reenvío en los buzones.
7. Revisa certificados emitidos. Con el DNS o la web bajo su control, un atacante puede pedir un certificado SSL para tu dominio. Busca tu dominio en los registros públicos de Certificate Transparency (por ejemplo, en crt.sh) y comprueba que no hay certificados recientes que no hayas pedido tú.
8. Revisa la web. Si el registro A apuntó a otro servidor, el daño suele estar fuera de tu servidor, pero si también entraron al hosting puede haber cambios en WordPress. Mira cómo limpiar una web hackeada con spam.
9. Apunta qué ha pasado y cuándo: te hará falta si hay que comunicarlo al cliente o a la AEPD (si hubo acceso a datos personales, repasa qué dice la AEPD sobre brechas de datos y valora con tu asesor si es una brecha notificable).

Y si el cambio fue legítimo

Pasa más de lo que parece. Aun así, revisa que el nuevo valor es correcto: un MX nuevo sin actualizar el SPF y el DKIM hace que el correo saliente empiece a fallar (lo explicamos en por qué tus correos llegan a spam), y un cambio de NS sin copiar todos los registros deja servicios sin funcionar (la verificación de Google, el DKIM de la newsletter, subdominios olvidados).

Cómo evitar que vuelva

• Doble verificación en el registrador y en el panel DNS. Sin excepciones.
• Pocas personas con acceso, cada una con su usuario. Nada de cuentas compartidas.
• Correo de recuperación fuera del dominio que proteges.
• Bloqueo de transferencia activo y renovación automática.
• DNSSEC si tu registrador y tu proveedor DNS lo soportan bien: dificulta que alguien suplante tus respuestas DNS, aunque no protege si te roban la cuenta del registrador.
• Una foto del DNS guardada y un sistema que te avise cuando cambie.

Para agencias: enterarte antes que el cliente

En una cartera de clientes, los DNS los tocan muchas manos: el hosting, el proveedor de correo, el técnico del cliente, la propia agencia. La mayoría de cambios son legítimos, pero los que no lo son hacen mucho daño en poco tiempo.

Jeffrey hace una foto del DNS de cada dominio cada hora: servidores DNS, registros A y AAAA, www, MX, SPF y DMARC, preguntando a resolvedores públicos. Compara cada foto con la anterior y, para no alarmarte en falso, solo da un cambio por bueno cuando lo ve en dos lecturas seguidas (unas dos horas). Las IP se comparan por red, así que las rotaciones normales de un CDN no saltan. Te avisa como crítico cuando cambian los servidores DNS o el MX, o cuando desaparece el registro A o el SPF, con el antes y el después. El resto de cambios queda en el historial del dominio sin molestarte. El aviso se queda abierto hasta que lo marcas como visto, para que nadie lo pierda. Si es urgente y no sabes por dónde empezar, escríbenos y lo miramos.

Preguntas frecuentes