Guía definitiva de seguridad en Microsoft 365 para pymes

Un cliente te llama molesto: lleva una semana recibiendo desde tu dirección de correo facturas con un número de cuenta nuevo. Alguien ha entrado en la cuenta de Microsoft 365 de tu responsable de administración, ha creado una regla de reenvío oculta y está suplantando tu identidad para desviar pagos. Esta guía de referencia te explica cómo blindar tu entorno de Microsoft 365 paso a paso, desde las identidades hasta el correo, para que no tengas que vivir esa llamada.

Qué es y por qué importa

Microsoft 365 es el centro de operaciones de tu empresa. No es solo el correo electrónico; es donde residen tus documentos financieros, tus reuniones estratégicas y, lo más crítico, las identidades de tus empleados a través de Microsoft Entra ID. Si un atacante compromete una sola cuenta, tiene las llaves para moverse por toda tu organización y acceder a información confidencial sin levantar sospechas.

Imagina una pyme de logística en Valencia: un empleado reutiliza su contraseña personal en el trabajo, no tiene un segundo factor de autenticación y un atacante accede a su buzón. Desde ahí, lee correos durante semanas, intercepta una transferencia de un proveedor, cambia el número de cuenta en un PDF y desaparece con el dinero. Todo esto se evita con configuraciones defensivas que, en la inmensa mayoría de los casos, ya tienes incluidas en tu licencia y solo necesitas activar.

El modelo de responsabilidad compartida de la nube es claro en este aspecto. Microsoft se encarga de que los servidores funcionen y la infraestructura sea segura, pero la gestión de los accesos, la clasificación de los datos y la configuración de las políticas de seguridad recaen sobre ti. Dejar las opciones por defecto que venían hace años es abrir la puerta a los ciberdelincuentes.

Identidades y MFA: el muro principal

El 99,9 % de los ataques comunes relacionados con la identidad, como la suplantación de contraseñas o los ataques de fuerza bruta, se bloquean con una medida muy concreta. Consiste en exigir autenticación multifactor (MFA) y bloquear los protocolos antiguos de conexión. Microsoft ofrece dos caminos para lograr esto, dependiendo del tipo de licencia que pagues en tu organización.

Si usas el nivel gratuito de Microsoft Entra ID, tu mejor opción son los valores predeterminados de seguridad (security defaults). Esta función exige MFA para todos los usuarios y administradores, y bloquea de raíz los protocolos inseguros. Desde el 29 de julio de 2024, Microsoft eliminó el periodo de gracia de 14 días que permitía a los usuarios posponer el registro de MFA tras la creación de un entorno nuevo o existente; ahora la protección es inmediata y obligatoria desde el primer inicio de sesión.

Para evitar los ataques de fatiga de MFA, donde un atacante bombardea al usuario con peticiones hasta que este acepta por cansancio, el sistema implementa una defensa adicional. Cuando los usuarios inician sesión, ven una pantalla con un número que deben introducir manualmente en su aplicación Microsoft Authenticator.

Además, a partir del 1 de julio de 2026, estos valores predeterminados también bloquearán el flujo de código de dispositivo (device code flow) en todos los nuevos entornos (tenants) de Microsoft Entra. Este flujo permite iniciar sesión en aparatos sin teclado ni navegador, pero los atacantes abusan de él en campañas de phishing engañando al usuario para que introduzca un código malicioso en su propio móvil.

Si tu empresa tiene licencias premium o requisitos complejos, los security defaults se te quedarán cortos porque no admiten excepciones. En ese caso, debes usar el Acceso Condicional (Conditional Access).

Característica	Valores predeterminados (Security defaults)	Acceso condicional (Conditional Access)
Licencia necesaria	Nivel gratuito (incluido por defecto)	Microsoft Entra ID P1 o P2 (P1 viene incluida en Microsoft 365 Business Premium)
Flexibilidad	Nula (todo o nada, sin excepciones)	Alta (reglas por ubicación, dispositivo, riesgo)
MFA para usuarios	Obligatorio siempre	Configurable según el contexto del inicio de sesión
Bloqueo heredado	Sí, automático	Sí, requiere crear una directiva específica

Cómo activar los valores predeterminados de seguridad

Para configurar esta protección, necesitas acceder con una cuenta que tenga al menos el rol de Administrador de acceso condicional. Sigue estos pasos en tu panel de control:

1. Entra en el centro de administración de Microsoft Entra.
2. Navega a Entra ID > Overview > Properties.
3. Selecciona Manage security defaults.
4. Cambia el interruptor a Enabled y guarda los cambios.

Una vez activado, es fundamental forzar a todos los usuarios a registrarse inmediatamente en el sistema de doble factor. Para ello, debes revocar las sesiones activas usando este comando de solo lectura en Microsoft Graph PowerShell SDK:

Revoke-MgUserSignInSession

Proteger a los administradores y cerrar puertas traseras

Las cuentas de administrador tienen un poder absoluto sobre tu entorno. Si caen, el atacante puede borrar toda tu organización, acceder a los correos de dirección o crear puertas traseras persistentes para volver a entrar en el futuro.

Lo primero es separar las aguas: crea cuentas exclusivas para tareas de administración y otras distintas para la productividad estándar, como leer el correo o usar Teams. Así reduces drásticamente la cantidad de veces que se solicita MFA a los administradores en su día a día y limitas la exposición si navegan por internet o abren un adjunto malicioso con su cuenta habitual.

Al activar los security defaults, Microsoft exige MFA obligatorio cada vez que inician sesión los usuarios con roles críticos. Esto incluye al Administrador global, Administrador de Exchange, Administrador de seguridad y Administrador de contraseñas, entre otros. Trata estas cuentas con un cuidado extremo y audita periódicamente quién tiene asignados estos roles.

Antes de activar los valores predeterminados de seguridad, asegúrate de que ninguno de tus administradores está utilizando protocolos de autenticación heredados (legacy authentication). Hablamos de clientes que usan POP3, IMAP o SMTP básico. Estos protocolos antiguos no soportan MFA, por lo que si un atacante consigue una contraseña, puede entrar usando IMAP y saltarse tus defensas por completo.

Un detalle técnico vital: si tu entorno de Exchange Online se creó antes de 2017, tiene la autenticación moderna desactivada por defecto. Debes habilitarla manualmente antes de forzar estas políticas. Si no lo haces, corres el riesgo de que los usuarios entren en un bucle infinito de inicio de sesión del que no puedan salir al intentar autenticarse.

Políticas preestablecidas de correo en Defender

El correo sigue siendo el vector de entrada número uno para el malware y el fraude financiero. Microsoft Defender for Office 365 ofrece tres políticas de seguridad preestablecidas (Preset security policies): Standard, Strict y Built-in protection. Estas políticas aplican las recomendaciones de Microsoft basadas en lo que ven en sus centros de datos globales, ahorrándote horas de configuración manual y ajustes de umbrales.

La política de protección integrada (Built-in protection) proporciona un nivel básico de protección para enlaces y adjuntos seguros. Se aplica automáticamente a todos los usuarios que no hayas incluido en las otras dos políticas más restrictivas o en políticas personalizadas. Es una red de seguridad para que nadie se quede sin un filtrado mínimo.

Las políticas Standard y Strict son más agresivas y están diseñadas para bloquear amenazas avanzadas. Puedes asignarlas desde el portal de Microsoft Defender, navegando a Email & collaboration > Policies & rules > Threat policies > Preset Security Policies. Durante la configuración, el asistente te pedirá que definas a qué usuarios, grupos o dominios quieres aplicar estas reglas.

Limitaciones en la protección contra suplantación

Aquí hay una limitación técnica que debes planificar con cuidado. Las políticas Standard y Strict te permiten especificar un máximo de 350 usuarios para protegerlos contra la suplantación de identidad (user impersonation). Además, solo puedes añadir hasta 50 dominios personalizados para la protección contra suplantación de dominios.

Elige bien a quién metes en esa lista de 350 usuarios. Debes priorizar a los directivos, al personal de recursos humanos y a los responsables financieros, ya que son los perfiles más suplantados en los ataques de fraude del CEO.

Ten en cuenta un comportamiento del sistema: la protección contra suplantación de usuarios no funcionará si el remitente y el destinatario ya se han comunicado previamente por correo electrónico. El filtro asume que si ya habéis intercambiado mensajes en el pasado, la relación es legítima y no levanta la alerta de suplantación.

Medir y mejorar con Microsoft Secure Score

No puedes proteger lo que no mides de forma constante. Microsoft Secure Score es un panel centralizado en el portal de Microsoft Defender (https://security.microsoft.com) que mide la postura de seguridad de tus identidades, aplicaciones y dispositivos.

Te da una puntuación numérica y te dice exactamente qué hacer para subirla. Se actualiza en tiempo real cuando haces cambios en la configuración, aunque los datos del sistema sobre los puntos logrados se sincronizan diariamente. Es una herramienta excelente para reportar a gerencia cómo está mejorando la seguridad de la empresa mes a mes.

Algunas acciones te dan puntos parciales. Por ejemplo, si una recomendación te otorga 10 puntos por proteger a todos tus usuarios con MFA, pero tienes 100 usuarios y solo 50 lo han configurado, recibirás una puntuación parcial de 5 puntos. Esto te permite ver el progreso real de tus despliegues.

Activar los security defaults te da un empujón masivo en esta puntuación. Te otorga 9 puntos por asegurar que todos los usuarios completen MFA, 10 puntos por requerir MFA a los roles administrativos y 7 puntos por bloquear la autenticación heredada.

Si usas los security defaults, asegúrate de ir a las recomendaciones de políticas de riesgo de inicio de sesión y riesgo de usuario en Secure Score y marcarlas como “Resolved through alternative mitigation” (Resuelto mediante mitigación alternativa). Así el sistema sabrá que ya estás cubierto por otra vía y te dará los puntos correspondientes sin pedirte que configures políticas redundantes.

Para gestionar y ver estos datos, necesitas los permisos adecuados. Los roles de Administrador de seguridad o Administrador de Exchange tienen acceso de lectura y escritura. Si solo quieres que un técnico revise la puntuación sin poder cambiar nada, asígnale el rol de Lector global (Global Reader).

Errores habituales

• Usar la cuenta de administrador para leer el correo: Es el error más grave y común en las pymes. Si abres un adjunto malicioso o haces clic en un enlace de phishing con una cuenta que tiene privilegios globales, el atacante hereda esos permisos. Usa cuentas separadas sin licencia de Office para administrar el entorno.
• Olvidar las cuentas de servicio o impresoras: Al bloquear la autenticación heredada, los escáneres antiguos o aplicaciones de facturación que envían correos por SMTP básico dejarán de funcionar. Identifícalos antes de aplicar el bloqueo y configúralos con métodos modernos o relés seguros.
• Creer que Microsoft hace copias de seguridad de todo: Microsoft garantiza que la infraestructura funciona, pero los datos son tu responsabilidad. Si un ransomware cifra tu SharePoint, las papeleras de reciclaje tienen un límite de tiempo y no siempre son suficientes. Necesitas un backup de terceros.
• Ignorar el reenvío automático: Los atacantes suelen crear reglas en el buzón comprometido para reenviar copias de correos financieros a cuentas externas. Si no bloqueas el reenvío automático hacia el exterior a nivel de inquilino, no te darás cuenta de la fuga de datos hasta que sea tarde.
• No tener una cuenta “rompecristales”: Si hay un fallo global con el sistema de MFA de Microsoft o tu único administrador pierde su teléfono, te quedas fuera de tu propia empresa. Necesitas una cuenta de acceso de emergencia, excluida de las políticas de bloqueo, con una contraseña larguísima guardada en una caja fuerte física.

Lista de comprobación

• Habilitar los security defaults en Entra ID (o Acceso Condicional si tienes licencias premium).
• Revocar todos los tokens activos con Revoke-MgUserSignInSession tras activar MFA para forzar el registro inmediato.
• Crear cuentas separadas (sin buzón ni licencia de Office) exclusivas para las tareas de administración.
• Confirmar que ningún administrador está utilizando protocolos de autenticación heredados (POP, IMAP).
• Habilitar la autenticación moderna si tu entorno de Exchange Online se creó antes de 2017.
• Asignar las políticas de seguridad preestablecidas (Standard o Strict) en el portal de Defender.
• Configurar la lista de usuarios (máximo 350) y dominios (máximo 50) protegidos contra suplantación.
• Revisar el panel de Microsoft Secure Score y marcar las mitigaciones alternativas correspondientes.
• Auditar los roles de administrador global y reducir su número al mínimo imprescindible.
• Crear una cuenta de emergencia (break glass) y guardar sus credenciales offline.

Preguntas frecuentes

¿Qué pasa si un usuario pierde su móvil y no puede usar MFA?

El administrador debe entrar en el portal de Entra ID, buscar al usuario y requerir que vuelva a registrar sus métodos de autenticación. También puede proporcionarle un Pase de acceso temporal (Temporary Access Pass) para que pueda iniciar sesión de forma segura durante unas horas y configurar su nuevo dispositivo.

¿Tienen coste los valores predeterminados de seguridad?

No. Los security defaults están diseñados para organizaciones que usan el nivel gratuito de Microsoft Entra ID. Vienen incluidos sin coste adicional en cualquier suscripción de Microsoft 365 para garantizar una línea base de defensa a todas las empresas, independientemente de su tamaño.

¿Afecta el MFA obligatorio a las cuentas de sincronización de directorios?

No. Las cuentas de sincronización como Microsoft Entra Connect o Microsoft Entra Cloud Sync están excluidas automáticamente de los security defaults. El sistema no les pedirá que se registren ni que realicen autenticación multifactor, para no romper la sincronización con tu directorio activo local. Eso sí, no debes usar estas cuentas para ningún otro propósito.

¿Cuánto tardan en aplicarse los valores predeterminados en un entorno nuevo?

Aunque los security defaults vienen activados por defecto en todos los entornos nuevos, existe un periodo de gracia de 24 horas antes de que las protecciones se apliquen de forma estricta. Esto te da margen para acceder por primera vez y configurar lo básico antes de que el sistema te exija MFA.

¿Por qué Secure Score no me da el 100 % de los puntos?

Secure Score es una guía, no un examen perfecto. Algunas recomendaciones pueden no tener sentido para la operativa de tu pyme, como bloquear ciertas aplicaciones de terceros que necesitas para trabajar. Asume el riesgo de lo que no puedas aplicar y céntrate en que la puntuación suba de forma constante, empezando por las recomendaciones de mayor impacto sobre identidades y correo.

¿Las políticas preestablecidas de Defender sustituyen a mi antivirus?

No. Las políticas de Microsoft Defender for Office 365 protegen el correo electrónico y las herramientas de colaboración en la nube (SharePoint, Teams) contra phishing, enlaces maliciosos y adjuntos infectados. Tus ordenadores portátiles y servidores siguen necesitando su propia protección en el dispositivo, como un EDR o un antivirus de nueva generación.

En resumen

• Activa los security defaults para forzar el uso de MFA y bloquear protocolos antiguos; es la medida técnica gratuita que más ataques detiene de forma inmediata.
• Separa las cuentas de administración de las del día a día para limitar el impacto si un usuario sufre un robo de credenciales o un ataque de phishing.
• Aplica las políticas preestablecidas de Defender for Office 365 para proteger el correo, aprovechando la inteligencia de amenazas de Microsoft sin tener que lidiar con configuraciones complejas.
• Usa Microsoft Secure Score como tu hoja de ruta mensual para auditar, medir y mejorar la configuración de tu entorno de forma continua y justificar la inversión en seguridad.