Para proteger Microsoft 365 frente a accesos no autorizados, la base son cuatro capas que trabajan juntas: activar la verificación en dos pasos (MFA) para todos los usuarios, aplicar acceso condicional que decida cuándo y cómo se permite la entrada, reforzar el correo con Defender for Office 365 y vigilar las alertas para detectar y reaccionar a tiempo. Ninguna de esas medidas basta por sí sola: la seguridad real aparece cuando se combinan y se mantienen bien configuradas. A continuación te explicamos qué hace cada una, en qué orden conviene abordarlas y qué errores de configuración vemos repetirse en las empresas.
1. MFA: el primer muro y el más rentable
La autenticación multifactor (MFA) exige un segundo factor además de la contraseña: una notificación en el móvil, un código de una app de autenticación o una llave física. Es, con diferencia, la medida que más ataques de robo de credenciales frena, porque una contraseña filtrada deja de ser suficiente para entrar.
El objetivo es que la MFA esté activa para todos los usuarios, sin excepciones cómodas. Las cuentas que más interesan a un atacante suelen ser precisamente las de administradores y dirección, así que son las últimas que deberían quedarse fuera. Si quieres entender el detalle de cómo funciona y por qué importa tanto, lo desarrollamos en este artículo sobre qué es la MFA.
Conviene saber también que la MFA no es infalible: existen técnicas como la fatiga de notificaciones (bombardear al usuario con avisos hasta que acepta uno por cansancio) o el robo de la sesión ya iniciada. Por eso interesan los métodos resistentes al phishing y, sobre todo, combinarla con el resto de capas.
2. Acceso condicional: las reglas del juego
Si la MFA es la cerradura, el acceso condicional es el conjunto de reglas que decide quién la usa y en qué condiciones. Permite definir políticas según el contexto de cada intento de entrada: qué usuario es, desde qué dispositivo, desde qué ubicación y con qué nivel de riesgo.
Con estas políticas se pueden tomar decisiones como pedir un segundo factor solo cuando el acceso resulta sospechoso, exigir que el dispositivo esté gestionado y al día, o directamente bloquear conexiones desde lugares donde tu empresa nunca opera. Es la pieza que convierte una seguridad rígida en una seguridad inteligente, que molesta poco al usuario legítimo y mucho al intruso.
El acceso condicional es también la base de un enfoque Zero Trust, en el que nunca se da por buena una conexión solo porque «viene de dentro». Aquí el riesgo no es la herramienta, sino la configuración: una política mal definida puede dejar a alguien fuera o, peor, abrir una puerta sin querer. Por eso conviene diseñarla con criterio y probarla antes de aplicarla a todos.
La idea de fondo: la mayoría de los accesos no autorizados a Microsoft 365 no entran «forzando» nada, sino usando credenciales robadas por correo. MFA y acceso condicional encarecen y complican ese camino hasta hacerlo, en la práctica, inviable para la mayoría de atacantes oportunistas.
3. Defender for Office 365: proteger la puerta de entrada
El correo sigue siendo la vía de ataque número uno. Microsoft Defender for Office 365 añade una capa de protección sobre Exchange Online frente a phishing, suplantación, enlaces maliciosos y adjuntos peligrosos, analizando los mensajes antes y en el momento de la entrega.
Entre sus funciones habituales están el análisis de adjuntos en un entorno aislado, la comprobación de enlaces en el momento del clic y las políticas anti-suplantación que dificultan que alguien se haga pasar por un directivo o un proveedor. Esto último conecta directamente con fraudes como el phishing dirigido a los empleados, donde la tecnología y la formación tienen que ir de la mano.
Conviene ser honestos en un punto: las capacidades avanzadas de Defender for Office 365 dependen del plan o licencia que tengas contratado. No todas las funciones están disponibles en todos los planes, así que parte del trabajo es revisar tu licenciamiento y ajustarlo a lo que realmente necesitas, sin pagar de más ni quedarte corto.
4. Alertas y vigilancia: detectar a tiempo
Ninguna protección es perfecta, así que la cuarta capa consiste en darse cuenta cuanto antes cuando algo va mal. Microsoft 365 puede generar alertas ante comportamientos anómalos: inicios de sesión desde ubicaciones imposibles, demasiados intentos fallidos, reglas de reenvío de correo sospechosas o concesión de permisos a aplicaciones desconocidas.
El problema no suele ser la falta de alertas, sino que nadie las mira o llegan a un buzón que no se revisa. Una vigilancia útil define qué eventos importan, a quién avisan y qué se hace cuando saltan. Tener un proceso de respuesta preparado —saber bloquear una cuenta, cerrar sesiones, revisar permisos— marca la diferencia entre un susto y un incidente serio. En 3L Systems abordamos esto desde la gestión de identidades y accesos, que es el corazón de la seguridad en Microsoft 365.
Errores de configuración que vemos a menudo
Muchas brechas no nacen de un ataque sofisticado, sino de ajustes que se quedaron a medias. Estos son los más frecuentes:
- MFA «para casi todos»: dejar fuera cuentas de administrador, buzones compartidos o usuarios «que dan problemas» es justo abrir la puerta por donde más duele.
- Protocolos antiguos abiertos: mantener activos métodos de autenticación heredados que no admiten MFA permite saltársela por la puerta de atrás.
- Permisos excesivos: demasiadas cuentas con privilegios de administrador o aplicaciones con más acceso del necesario amplían el daño si una cuenta se ve comprometida.
- Reglas de reenvío sin control: un atacante que entra a un buzón suele crear un reenvío automático para leer el correo sin ser visto. Conviene vigilar y limitar el reenvío externo.
- Alertas que nadie atiende: activar avisos y dirigirlos a un buzón que no se mira equivale a no tenerlos.
- Olvidar las copias de seguridad: Microsoft garantiza su servicio, pero la responsabilidad sobre tus datos es tuya. Una copia independiente protege frente a borrados y secuestros de cuenta.
Corregir estos puntos no suele requerir grandes inversiones, sino una revisión ordenada y conocimiento de cómo encaja cada ajuste. Es exactamente el tipo de trabajo que conviene hacer con criterio, porque un cambio mal planteado puede dejar a usuarios legítimos sin acceso.
Por dónde empezar
Si tuviéramos que ordenar las prioridades para una pyme, el camino sensato es: primero MFA para todo el mundo, después cerrar los protocolos antiguos y revisar permisos, luego políticas de acceso condicional bien diseñadas, en paralelo ajustar Defender for Office 365 al plan que tengas y, por último, activar y vigilar las alertas con un proceso de respuesta detrás.
Microsoft 365 trae herramientas potentes, pero la protección real no viene «de fábrica»: depende de cómo se configuren y se mantengan ajustadas a tu empresa. Puedes ver cómo lo planteamos en nuestra página de Microsoft 365, y si prefieres que alguien revise tu configuración actual antes de tocar nada, ese es justo el punto de partida que recomendamos.
Preguntas frecuentes
¿Es suficiente con activar la verificación en dos pasos (MFA)?
La MFA es la medida que más ataques frena y debería estar activa para todos los usuarios, pero no es suficiente por sí sola. Hay técnicas que intentan saltársela, como el robo de sesión o la fatiga de notificaciones. Por eso conviene combinarla con acceso condicional, métodos de MFA resistentes al phishing y una buena vigilancia de alertas.
¿Qué diferencia hay entre MFA y acceso condicional?
La MFA verifica que quien entra es quien dice ser pidiendo un segundo factor. El acceso condicional decide cuándo y cómo se aplica esa verificación según el contexto: usuario, dispositivo, ubicación o nivel de riesgo. Trabajan juntos: la MFA es la cerradura y el acceso condicional define las reglas de quién la usa y en qué condiciones.
¿Microsoft 365 viene seguro de fábrica?
Microsoft 365 incorpora medidas de seguridad por defecto razonables, pero la configuración estándar no cubre todos los riesgos de cada empresa. La protección real depende de cómo se ajusten las políticas de identidad, los permisos, la retención y las alertas a tu caso concreto. Una revisión profesional ayuda a cerrar las brechas que la configuración por defecto deja abiertas.
¿Qué hago si sospecho que han entrado en una cuenta?
Actúa rápido: bloquea la cuenta y cierra todas sus sesiones, cambia la contraseña y revisa los métodos de MFA por si han añadido alguno. Después revisa reglas de reenvío de correo, accesos recientes y permisos concedidos a aplicaciones. Conviene documentar lo ocurrido y, si hay datos personales afectados, valorar las obligaciones de notificación que correspondan.
¿Necesito una licencia concreta para Defender for Office 365?
Sí. Las capacidades avanzadas de Defender for Office 365 se incluyen en determinados planes o se contratan como complemento. Las funciones disponibles dependen del plan que tengas. Lo recomendable es revisar tu licenciamiento actual y ajustarlo a las necesidades reales de protección, sin pagar de más ni quedarte corto.