La seguridad del correo en Microsoft 365 puede reforzarse combinando los controles de la plataforma con una capa adicional de análisis, siempre que la integración mantenga la autenticación, la trazabilidad y una ruta de entrega correctamente configurada. El filtrado reduce la exposición al fraude, los archivos maliciosos y el robo de credenciales, pero debe acompañarse de autenticación multifactor, copias de seguridad, formación y procedimientos de verificación.
El correo electrónico continúa siendo un objetivo habitual de campañas dirigidas a obtener credenciales, distribuir programas maliciosos o engañar a una empresa para que realice pagos y transferencias. Los atacantes pueden falsificar la identidad del remitente, comprometer una cuenta legítima o utilizar dominios visualmente parecidos a los de clientes y proveedores.
Las organizaciones que trabajan con Microsoft 365 disponen de controles nativos contra correo no deseado, suplantación, phishing y archivos maliciosos. Algunas empresas añaden, además, una pasarela o servicio externo que analiza los mensajes antes de entregarlos a Exchange Online.
Esta segunda capa puede ampliar la capacidad de detección o incorporar funciones especializadas. Sin embargo, su utilidad depende de cómo se integre. Una configuración incorrecta puede provocar que Microsoft 365 pierda información sobre el remitente original, clasifique mal los mensajes o confíe en correos que deberían someterse a controles adicionales.
La protección debe plantearse, por tanto, como un sistema de capas. Ningún filtro puede garantizar que todos los mensajes maliciosos serán bloqueados, especialmente cuando el fraude se apoya en una cuenta real comprometida o en instrucciones aparentemente verosímiles.
La seguridad del correo en Microsoft 365 comienza con la configuración nativa
Microsoft 365 incorpora políticas contra el phishing que permiten detectar remitentes falsificados, intentos de suplantación y otras técnicas de engaño. Las funciones básicas están disponibles para los buzones alojados en la plataforma, mientras que Microsoft Defender for Office 365 añade controles avanzados según el plan contratado.
Entre esas funciones se encuentran Safe Links, que analiza enlaces presentes en mensajes y aplicaciones compatibles, y Safe Attachments, que examina archivos mediante técnicas adicionales antes de que lleguen al usuario. La protección integrada ofrece una base, pero las políticas predeterminadas no activan necesariamente todas las opciones avanzadas disponibles.
Microsoft ofrece políticas de seguridad preestablecidas con niveles estándar y estricto. Antes de aplicarlas a toda la organización, la empresa debe comprobar su efecto sobre procesos legítimos, buzones compartidos, aplicaciones que envían correos y relaciones con proveedores.
También conviene revisar las excepciones acumuladas. Una regla que permita el paso de todos los mensajes procedentes de un dominio, una dirección o una infraestructura concreta puede debilitar el resto de los controles. Las excepciones deben ser limitadas, estar justificadas y revisarse periódicamente.
Cómo integrar un filtro externo sin crear rutas inseguras
Exchange Online admite escenarios en los que el registro MX del dominio dirige primero el correo hacia un servicio externo de filtrado. Después del análisis, ese proveedor entrega los mensajes a Microsoft 365 mediante conectores configurados para ese flujo.
La dificultad aparece cuando Microsoft 365 interpreta que el remitente inmediato es la plataforma de filtrado y no el servidor desde el que se originó el mensaje. Microsoft recomienda utilizar el filtrado mejorado para conectores en los escenarios en los que el registro MX no apunta directamente a Microsoft 365. Esta función permite conservar información de la ruta original y mejorar la evaluación posterior del correo.
La empresa debe documentar el recorrido completo de los mensajes entrantes y salientes: qué servicio los recibe primero, qué controles aplica, mediante qué conector continúa la entrega y qué ocurre si uno de los componentes deja de funcionar.
También debe impedir que un atacante evite la pasarela externa y envíe directamente a Exchange Online. Para ello, los conectores y restricciones deben aceptar únicamente las rutas, certificados o direcciones autorizadas, sin abrir mecanismos alternativos de entrega.
Duplicar políticas sin coordinación tampoco garantiza una mayor protección. Dos sistemas pueden asignar acciones distintas al mismo mensaje, alterar encabezados necesarios para la investigación o provocar retrasos y falsos positivos. Antes de desplegar una herramienta adicional conviene probarla con un grupo reducido y definir qué plataforma toma cada decisión.
SPF, DKIM y DMARC protegen la identidad del dominio
SPF permite indicar qué servidores están autorizados para enviar correo en nombre de un dominio. DKIM añade una firma criptográfica a los mensajes salientes y DMARC establece cómo debe actuar el receptor cuando la identidad visible no se corresponde con los resultados de autenticación. Los tres mecanismos se complementan y SPF por sí solo no resulta suficiente para impedir la suplantación.
Antes de aplicar una política DMARC restrictiva, la empresa necesita identificar todas sus fuentes legítimas de envío. Además de Microsoft 365, pueden emitir correos aplicaciones de facturación, plataformas comerciales, herramientas de marketing, sistemas de reservas o proveedores externos.
Una fuente olvidada puede hacer que mensajes legítimos fallen la autenticación. Por esta razón, Microsoft plantea un despliegue gradual de DMARC, apoyado en los informes que permiten detectar servicios no alineados antes de avanzar hacia políticas de cuarentena o rechazo.
Estos protocolos reducen la posibilidad de que terceros utilicen el dominio de la empresa para engañar a clientes y proveedores, pero no evitan los mensajes enviados desde una cuenta legítima que haya sido comprometida.
La cuenta del usuario sigue siendo una línea de defensa
La autenticación multifactor dificulta el acceso cuando una contraseña ha sido robada. Microsoft ofrece configuraciones de seguridad predeterminadas para proteger a las organizaciones frente a ataques relacionados con la identidad, mientras que el acceso condicional permite definir controles más detallados cuando las licencias lo permiten.
Los puestos administrativos, financieros y directivos requieren una protección especial por su capacidad para modificar configuraciones, acceder a información sensible o autorizar operaciones. CISA recomienda utilizar métodos resistentes al phishing, como las credenciales basadas en FIDO o WebAuthn, cuando estén disponibles.
La protección técnica no sustituye la verificación empresarial. Una solicitud para cambiar la cuenta bancaria de un proveedor, realizar un pago urgente o compartir información confidencial debe confirmarse mediante un canal diferente y utilizando datos de contacto conocidos previamente.
No debe validarse una operación respondiendo al mismo mensaje ni llamando al teléfono incluido en él. Si la cuenta del remitente está comprometida, el atacante puede controlar también la conversación y aportar información aparentemente coherente.
Copias de seguridad, auditoría y respuesta ante incidentes
La empresa debe definir qué información necesita recuperar, cuánto tiempo puede permanecer sin ella y qué pérdida de datos resulta asumible. Las copias deben ejecutarse de forma periódica y someterse a pruebas de restauración; disponer de un respaldo que nunca se ha recuperado no garantiza la continuidad. INCIBE recomienda mantener varias copias en soportes y ubicaciones diferentes.
Microsoft 365 dispone de opciones específicas de copia y restauración para Exchange, OneDrive y SharePoint que requieren activación y configuración. Cada organización debe revisar las funciones incluidas en su licencia, las políticas de conservación y la necesidad de utilizar servicios adicionales.
La trazabilidad resulta igualmente importante. El registro de auditoría de Microsoft Purview permite investigar operaciones realizadas por usuarios y administradores, incluidos cambios de configuración, accesos y reglas de reenvío. Su conservación y disponibilidad deben comprobarse antes de que se produzca un incidente.
Ante una cuenta comprometida, la respuesta debe incluir la recuperación del control, la revocación de sesiones, la revisión de métodos de autenticación, permisos, reglas de bandeja de entrada, reenvíos y conectores. También será necesario localizar los mensajes enviados por el atacante, determinar qué información pudo consultar y advertir a los contactos afectados.
La seguridad del correo no termina cuando el mensaje supera el filtro. La combinación de autenticación, configuración técnica, permisos limitados, formación, verificación financiera y capacidad de recuperación reduce tanto la probabilidad de un incidente como sus consecuencias para la pyme.
