La mayoría de los incidentes que atendemos en Microsoft 365 no empiezan con una vulnerabilidad sofisticada, sino con una cuenta comprometida: una contraseña filtrada, un aviso de MFA aprobado por cansancio o un enlace de phishing que roba la sesión. La buena noticia es que un grupo reducido de controles bloquea la mayor parte de esos ataques.
Estos son los cinco que priorizamos al evaluar un tenant.
1. MFA resistente a phishing con acceso condicional
Activar MFA ya no es suficiente si se basa en SMS o en notificaciones que el usuario aprueba sin leer. Los ataques de tipo adversary-in-the-middle roban la sesión aunque haya un segundo factor.
- Use Microsoft Authenticator con coincidencia de números como mínimo, y llaves FIDO2 o passkeys para administradores y usuarios sensibles.
- Implemente políticas de acceso condicional (requieren Microsoft Entra ID P1, incluido en Microsoft 365 Business Premium) en lugar de depender solo de los valores predeterminados de seguridad.
- Exija dispositivo conforme o unido a Entra ID para acceder a datos sensibles.
- Despliegue cada política primero en modo de solo informe y revise el impacto antes de aplicarla.
2. Bloquee la autenticación heredada
Los protocolos heredados (POP, IMAP, SMTP con autenticación básica y clientes antiguos) no admiten MFA y siguen siendo una vía común de ataques de password spraying.
- Cree una política de acceso condicional que bloquee los clientes de autenticación heredada para todos los usuarios.
- Identifique antes, en los registros de inicio de sesión de Entra ID, qué equipos o aplicaciones aún dependen de ellos (impresoras multifunción, aplicaciones de negocio) y migre esos casos a métodos modernos o a un conector dedicado.
3. Proteja las cuentas privilegiadas
Una cuenta de administrador global comprometida equivale a perder el tenant completo.
- Separe las cuentas de administración de las cuentas de uso diario, sin buzón ni licencias de productividad.
- Limite los administradores globales a entre dos y cuatro personas y use roles de menor privilegio para las tareas cotidianas.
- Con Entra ID P2, use Privileged Identity Management (PIM) para que los roles se activen solo cuando se necesitan y con aprobación.
- Mantenga dos cuentas de emergencia (break-glass) con llaves FIDO2, excluidas de forma controlada de las políticas de acceso condicional y con alertas ante cualquier inicio de sesión.
4. Endurezca el correo electrónico
El correo sigue siendo el principal vector de entrada.
- Aplique las políticas de seguridad preestablecidas (estándar o estricta) de Exchange Online Protection y Microsoft Defender para Office 365, incluidos Safe Links y Safe Attachments.
- Configure SPF, DKIM y DMARC para todos sus dominios y avance la política DMARC de
noneaquarantiney luego arejecta medida que valide los remitentes legítimos. - Deshabilite el reenvío automático externo y alerte sobre reglas de bandeja de entrada sospechosas, una técnica habitual tras comprometer una cuenta.
5. Controle el consentimiento de aplicaciones y audite
El consent phishing consigue que un usuario autorice una aplicación maliciosa con acceso permanente a su correo o a sus archivos, sin necesidad de robar la contraseña.
- Restrinja el consentimiento de usuarios a aplicaciones de editores verificados con permisos de bajo riesgo, y active el flujo de aprobación por administrador para el resto.
- Revise periódicamente las aplicaciones empresariales y los permisos concedidos.
- Verifique que el registro de auditoría unificado esté activo, conozca su período de retención y envíe los eventos críticos a su SIEM o a Microsoft Sentinel.
Por dónde empezar
Si solo puede abordar una cosa este mes, comience por el acceso condicional con MFA y el bloqueo de la autenticación heredada: son los controles con mejor relación entre esfuerzo e impacto. Microsoft Secure Score le ayudará a medir el avance y a priorizar lo siguiente.
En BCTech evaluamos y endurecemos tenants de Microsoft 365 con un plan de remediación priorizado y sin interrumpir la operación. Conozca el servicio de seguridad en Microsoft 365.