Microsoft Outlook nuevo: cómo evitar el phishing del aviso de retirada

Te ha llegado al buzón un correo que dice que las versiones antiguas de Outlook Mail se retiran el 27 de agosto de 2026 y que, si no aceptas unos nuevos términos en 24-48 horas, tu cuenta se desactiva y se borran los datos. Antes de hacer clic: es muy probablemente un intento de phishing (suplantación). Microsoft no avisa de cambios de servicio por correo con plazos de 24-48 horas ni pide aceptar términos desde un enlace. Compruébalo entrando en outlook.com con tu navegador o abriendo Outlook clásico desde Inicio; lo que ves ahí es lo real.

Aplica a Outlook.com y al nuevo Outlook para Windows en Windows 10 y Windows 11. Outlook clásico sigue funcionando hasta que Microsoft avise con 12 meses de antelación antes de las fases opt-out (activación por defecto) y cutover (sin vuelta atrás).

Qué es el nuevo Outlook y por qué Microsoft avisa de cambios

El nuevo Outlook para Windows sustituye al clásico en tres fases progresivas descritas por Microsoft: opt-in, opt-out y cutover. En la fase 1 (opt-in), activa desde el 1 de agosto de 2024 con la disponibilidad general del nuevo Outlook, los usuarios ven el botón "Try the new Outlook" en la esquina superior derecha del Outlook clásico y pueden activar o desactivar la nueva versión cuando quieran. En la fase 2, el nuevo Outlook se activa por defecto, pero se puede volver al clásico. En la fase 3, ya no hay vuelta atrás.

Microsoft avisa de los pasos a opt-out y a cutover con un "aviso de cambio disruptivo" comunicado al menos 12 meses antes. Esos avisos aparecen al iniciar sesión en outlook.com o al abrir Outlook clásico, no llegan como correo suelto con plazos de 24-48 horas. Las instalaciones existentes del Outlook clásico seguirán siendo compatibles al menos hasta 2029.

Por eso, un mensaje que llega al buzón pidiendo "aceptar términos en 24-48 horas o se desactiva la cuenta" no encaja con la forma de comunicar de Microsoft. Es la firma habitual del phishing. Las cuentas reales siguen activas aunque el correo diga lo contrario.

Lo que ves en el correo falso y por qué no es real

Si lo que tienes son las dos primeras filas, trátalo como phishing. Si lo que tienes son las dos últimas, es un aviso legítimo y se gestiona dentro del propio Outlook.

Comprueba si Outlook.com te ha enviado algo real

Antes de tocar nada, tres comprobaciones rápidas para distinguir el aviso real del falso.

Inicia sesión en Outlook.com desde el navegador

ruta

1. Abre Microsoft Edge (o tu navegador habitual) desde la barra de tareas.
2. Escribe outlook.com en la barra de direcciones y pulsa Intro.
3. Inicia sesión con la misma cuenta del correo sospechoso (la que termina en @outlook.com, @hotmail.com, @live.com o el dominio personalizado de tu empresa).
4. Si carga el buzón con tus mensajes, la cuenta sigue activa aunque el correo recibido diga lo contrario.

Mira si Outlook clásico muestra "Try the new Outlook"

ruta

1. Abre Outlook clásico desde el menú Inicio (la aplicación "Outlook" de toda la vida, no la que dice "nuevo" o "new").
2. Mira la esquina superior derecha de la ventana, junto a la barra de búsqueda.
3. Si ves el interruptor o el botón "Try the new Outlook", es la migración real de Microsoft y está disponible para esa cuenta.
4. Si no ves ese botón, no hay aviso legítimo de migración en esa cuenta: cualquier correo que lo pida por escrito es de fuera.

Pasa el ratón por el enlace sin hacer clic

1. Abre el correo sospechoso.
2. Sin hacer clic, pasa el cursor por encima del enlace o mantén pulsado si estás en pantalla táctil.
3. Fíjate en la dirección que aparece abajo a la izquierda (en Outlook clásico) o en la vista previa del enlace (en Outlook.com).
4. El dominio debe ser outlook.com, account.microsoft.com o microsoft.com.
5. Si el dominio es cualquier otro (por ejemplo outlook-mail.support, outlook-verify.com, una URL acortada o un dominio desconocido), es phishing.

El correo es phishing: sáqualo del buzón y protege la cuenta

Esta parte aplica cuando el diagnóstico confirma que el mensaje es falso. El objetivo es quitarlo del buzón para no caer después y blindar la cuenta por si alguien más ya lo tenía.

Marca el mensaje como phishing y bórralo

1. En Outlook.com, abre el mensaje, pulsa los tres puntos de la esquina superior derecha y elige Informar de phishing > Informar y eliminar. Luego abre la Papelera, busca el mensaje y comprueba que está marcada la opción Vaciar la papelera al cerrar sesión para que no se pueda recuperar.
2. En Outlook clásico, selecciona el mensaje sin abrirlo, ve a la cinta Inicio > Más opciones (los tres puntos) > Informar > Phishing, y después bórralo con Mayús+Supr para que no quede en Elementos eliminados.

Cambia la contraseña y activa la verificación en dos pasos

ruta

ruta

1. Desde el navegador, abre account.microsoft.com e inicia sesión con la cuenta afectada.
2. En Seguridad > Cambiar contraseña, elige una contraseña nueva, larga y que no uses en otros servicios. Si la cuenta la gestiona un administrador (Microsoft 365 de empresa), este paso no está disponible y debes contactar con tu departamento de TI.
3. Después, en Seguridad > Opciones de seguridad avanzadas, activa Verificación en dos pasos y elige la aplicación Microsoft Authenticator como método principal (es la app oficial de Microsoft; descárgala desde la Microsoft Store o con winget install Microsoft.Authenticator). Guarda los códigos de recuperación que te muestra la pantalla en un lugar seguro (impresos o en un gestor de contraseñas), porque los necesitarás si pierdes el móvil.

Outlook.com ha enviado un aviso real: qué hacer entonces

Esta parte aplica cuando el diagnóstico confirma que el aviso es legítimo (porque cargó outlook.com y porque el botón "Try the new Outlook" está en Outlook clásico). Microsoft no obliga a cambiar de versión: tú decides cuándo.

Prueba el nuevo Outlook desde el botón oficial

ruta

1. Abre Outlook clásico desde el menú Inicio de Windows.
2. En la esquina superior derecha, junto a la barra de búsqueda, activa el interruptor Try the new Outlook.
3. Se abrirá una ventana nueva con el nuevo Outlook. Inicia sesión con la misma cuenta si te la pide.
4. Si echas algo en falta, vuelve a Outlook clásico y desactiva el interruptor; en la fase 1 (opt-in) ambas versiones conviven.

Pasa tu correo al nuevo Outlook cuando te convenga

1. Antes de hacerlo definitivo, abre aka.ms/newOutlookAdoption con tu navegador y revisa la lista de funciones críticas que faltan en el nuevo Outlook (reglas de servidor, complementos COM, cuentas POP/IMAP de empresa, buzones compartidos con permisos avanzados, carpetas de búsqueda).
2. Si todo lo que usas está en esa lista como "compatible" o "disponible en el nuevo Outlook", activa la versión nueva y dedícale un tiempo a configurarla (firma, reglas de cliente, vistas).
3. Si falta alguna función que necesitas, sigue en Outlook clásico hasta que Microsoft avise (12 meses antes de opt-out y cutover). Las instalaciones clásicas existentes seguirán siendo compatibles, al menos, hasta 2029.

Hiciste clic en el enlace del phishing: qué revisar ahora

Si llegaste a abrir el enlace o a poner tu contraseña en la página falsa, actúa cuanto antes. El objetivo es cerrar las puertas que el atacante haya podido abrir.

Borra la sesión iniciada en otros equipos

ruta

1. Desde el navegador, abre account.microsoft.com e inicia sesión.
2. Ve a Seguridad > Actividad reciente y revisa el listado: fíjate en la dirección IP y la ubicación que aparece junto a cada inicio de sesión.
3. Si ves una IP o un país que no reconoces, pulsa Proteger la cuenta y sigue el asistente (suele llevar a cambiar contraseña).
4. Pulsa Cerrar sesión en todas para expulsar al atacante de cualquier sesión abierta y, después, cambia la contraseña como en la parte anterior.

Quita reenvíos y reglas que el atacante haya podido crear

ruta

ruta

1. En Outlook.com, abre Configuración (la rueda dentada) > Correo > Reglas y revisa la lista.
2. Borra cualquier regla que reenvíe tus mensajes a direcciones que no reconozcas o que mueva correos a carpetas raras.
3. Vuelve a Correo y abre Reenvío y correo IMAP: comprueba que Reenvío está desactivado o, si lo usas, que solo reenvía a direcciones tuyas. Quita el reenvío si no lo necesitas.
4. En Reglas de bandeja de entrada y limpieza, dentro de la sección Limpiar, elimina lo que no hayas creado tú.

Si nada de esto arregla el problema

Tres últimos recursos, de menos a más drástico, para cuando el diagnóstico fue claro de phishing pero no consigues cerrar la brecha.

Restablece la contraseña desde el formulario de recuperación

ruta

1. Desde el navegador, abre account.live.com/acsr (formulario de recuperación de cuenta de Microsoft).
2. Rellena los campos: dirección de correo, país, número de teléfono o correo de contacto asociado y el captcha.
3. Si tienes verificación en dos pasos y Authenticator perdidos, el sistema te ofrece Usar una opción de verificación diferente hasta llegar a Recibir un código por correo al contacto secundario o Verificar mi identidad con la cuenta Microsoft enviando una solicitud a un agente.
4. El proceso tarda hasta 24 horas y puede pedir información adicional (compras recientes, asunto de correos enviados, nombres de carpetas que creaste).

Llama al soporte de Outlook.com desde la cuenta hackeada

ruta

ruta

1. En la página de inicio de sesión de Outlook.com, pulsa ¿No puedes iniciar sesión? > opciones de recuperación y sigue las opciones hasta que veas Contactar con el soporte o el formulario de recuperación verificado (aparece cuando Microsoft detecta señales de compromiso).
2. Si la cuenta es de empresa (Microsoft 365 con dominio propio), el usuario no puede restablecerla por su cuenta: el administrador del inquilino entra en el Azure Portal (portal.azure.com), va a Usuarios, selecciona la cuenta afectada y usa Restablecer contraseña.
3. Anota el número de caso que te da Microsoft al final para usarlo si te vuelven a pedir información.

Recrea la cuenta si no puedes recuperarla

Lo que ya has descartado sobre el phishing de Outlook

• Outlook no avisa de cambios de servicio por correo con plazos de 24-48 horas.
• Outlook no desactiva cuentas por no aceptar unos "términos" desde un enlace enviado en un mensaje.
• Los avisos reales de Microsoft aparecen al iniciar sesión en outlook.com o al abrir Outlook clásico, no en correos sueltos del buzón.
• El botón "Try the new Outlook" solo está dentro de la aplicación Outlook clásico, nunca dentro de un correo.
• Si el enlace del correo apunta a un dominio que no es outlook.com ni microsoft.com, es phishing, sin importar lo bien redactado que esté.

Si después de revisar todo esto el correo sigue pareciendo real, abre Outlook clásico o outlook.com con tu cuenta: si ahí no dice nada de aceptar términos ni de retirada, el correo es falso.

Dudas sobre el phishing del aviso del nuevo Outlook