Un correo corporativo comprometido no solo expone mensajes. Puede autorizar un pago falso, robar credenciales de clientes, modificar datos bancarios de un proveedor o paralizar una operación entera. Por eso, la seguridad del correo Microsoft 365 debe tratarse como una capa crítica de continuidad operativa, no como una configuración que se revisa una vez y se olvida.
Microsoft 365 incorpora herramientas muy capaces, pero su resultado depende de cómo se licencian, configuran y supervisan. Activar una cuenta y entregar una contraseña no constituye una estrategia de protección. Una empresa necesita controlar identidades, reducir la suplantación, proteger la información y responder con rapidez cuando aparece una alerta.
Qué cubre la seguridad del correo Microsoft 365
La protección efectiva no se limita al filtro de spam. El correo es una puerta de entrada habitual para ataques de phishing, malware, fraude del CEO y robo de sesiones. También es un repositorio de contratos, presupuestos, conversaciones comerciales y datos personales que no deberían llegar a manos ajenas.
Una configuración seria combina la seguridad nativa de Exchange Online con controles de identidad en Microsoft Entra ID, reglas de flujo de correo, autenticación de dominio y políticas de acceso. En organizaciones con mayor exposición, las capacidades avanzadas de Microsoft Defender for Office 365 añaden análisis de enlaces, adjuntos y campañas de suplantación.
El nivel adecuado depende del tamaño de la empresa, del volumen de correo, de los datos que gestiona y del coste real de una interrupción. Una pyme que factura por correo no tiene las mismas necesidades que una empresa con varias sedes, pero ambas deben partir de una base mínima bien implementada.
La identidad es el primer perímetro
Las contraseñas reutilizadas siguen siendo una de las causas más comunes de acceso no autorizado. Un atacante no necesita vulnerar Microsoft 365 si consigue una clave filtrada en otro servicio y el usuario la repite en su correo corporativo.
La autenticación multifactor, o MFA, debe estar habilitada para todos los usuarios, sin excepciones informales. Un segundo factor mediante aplicación autenticadora, llave de seguridad o método equivalente reduce de forma drástica el riesgo de que una contraseña robada baste para entrar. Los SMS pueden servir como medida transitoria, pero son menos resistentes frente a ataques de suplantación de SIM que las aplicaciones o las llaves físicas.
También conviene aplicar acceso condicional. Estas políticas permiten exigir MFA según el nivel de riesgo, bloquear inicios de sesión desde ubicaciones inesperadas, limitar accesos a dispositivos no gestionados o impedir protocolos de autenticación antiguos. La restricción debe diseñarse con criterio: bloquear todo acceso fuera de la oficina puede afectar a equipos comerciales, teletrabajo o personal de guardia. La política correcta protege sin detener el negocio.
Las cuentas administrativas merecen un tratamiento separado. Deben ser nominales, tener MFA reforzado, usarse solo para tareas de administración y no convertirse en buzones de uso diario. Compartir una cuenta de administrador elimina trazabilidad y dificulta cualquier investigación posterior.
Antiphishing: filtrar no basta
Los ataques actuales imitan marcas, proveedores e incluso a directivos de la propia empresa. A menudo no incluyen archivos maliciosos evidentes: piden una transferencia urgente, solicitan cambiar una cuenta bancaria o conducen a una página falsa de inicio de sesión. Por eso, el filtro antispam por sí solo no resuelve el problema.
La seguridad de correo Microsoft 365 debe incluir políticas antiphishing que detecten suplantación de usuarios y dominios, especialmente de gerencia, finanzas, compras y proveedores críticos. Es recomendable definir protección específica para los nombres más usados en fraudes y revisar qué mensajes quedan retenidos en cuarentena.
Las políticas de adjuntos y enlaces también requieren atención. El análisis de archivos puede detectar contenido peligroso antes de que llegue al usuario, mientras que la comprobación de URLs ayuda a impedir accesos a sitios fraudulentos. Estas funciones varían según la licencia contratada, por lo que conviene revisar qué capacidades están realmente disponibles y no asumir que todos los planes ofrecen el mismo nivel de defensa.
La formación del equipo completa esta capa. No se trata de enviar una presentación anual y dar el tema por cerrado. Los usuarios deben conocer un procedimiento simple: no aprobar cambios de pago por correo sin una validación alternativa, informar mensajes sospechosos y nunca introducir credenciales desde enlaces no verificados.
SPF, DKIM y DMARC protegen el dominio
Cuando un atacante envía mensajes usando el nombre de su empresa, el daño es reputacional y operativo. Clientes y proveedores pueden recibir facturas falsas, enlaces maliciosos o instrucciones de pago que aparentan proceder de su dominio. La autenticación de correo reduce esa posibilidad.
SPF declara qué servidores están autorizados a enviar mensajes en nombre del dominio. DKIM añade una firma criptográfica que permite validar que el contenido no ha sido alterado durante el envío. DMARC usa ambas señales para indicar a los receptores cómo tratar mensajes que no superan las verificaciones y para generar informes sobre intentos de suplantación.
La implementación de DMARC debe hacerse por fases. Empezar con una política de monitorización permite identificar servicios legítimos que envían correo -por ejemplo, plataformas de facturación, marketing o formularios web- antes de pasar a cuarentena o rechazo. Publicar una política estricta sin revisar esas fuentes puede provocar que correos válidos no lleguen a destino.
Este punto exige una gestión DNS precisa. Un registro mal construido puede afectar la entrega de mensajes y convertirse en un problema comercial. La protección del dominio no debe configurarse a ciegas ni dejarse sin seguimiento después de activarla.
Proteja los datos dentro y fuera del buzón
Un correo puede ser seguro frente a ataques externos y, aun así, filtrar información por error interno. Documentos adjuntos, enlaces a OneDrive y conversaciones reenviadas requieren controles acordes al tipo de información que maneja la empresa.
Las políticas de prevención de pérdida de datos ayudan a detectar el envío de información sensible, como identificadores personales, datos financieros o documentación confidencial. Las etiquetas de sensibilidad permiten clasificar documentos y mensajes, restringir acciones como el reenvío o aplicar cifrado cuando sea necesario. No conviene activar todas las restricciones de golpe: una política demasiado agresiva genera excepciones, frustración y métodos alternativos sin control.
La retención es otro componente relevante. Definir cuánto tiempo se conservan los correos responde a necesidades legales, comerciales y operativas. Borrar automáticamente todo lo antiguo puede eliminar evidencia útil; conservarlo todo indefinidamente aumenta exposición y costes de gestión. La decisión debe documentarse y alinearse con el funcionamiento real de la organización.
Supervisión y respuesta: la parte que suele faltar
Una plataforma segura genera señales: inicios de sesión anómalos, reglas de reenvío creadas sin autorización, cambios en permisos, mensajes retenidos y accesos desde dispositivos desconocidos. Si nadie revisa esas señales, la protección queda incompleta.
Las reglas de reenvío externo merecen especial vigilancia. Tras comprometer una cuenta, un atacante puede crear una regla oculta para recibir copias de conversaciones y esperar el momento adecuado para cometer fraude. Limitar o bloquear el reenvío automático fuera de la organización reduce este riesgo, salvo en casos de negocio justificados y aprobados.
Toda empresa debería tener un procedimiento breve y conocido para incidentes de correo: bloquear el acceso afectado, revocar sesiones activas, restablecer credenciales, revisar reglas y delegaciones, analizar mensajes enviados y avisar a los contactos implicados si hubo suplantación. La rapidez importa, pero también la trazabilidad. Sin registros y responsables definidos, las decisiones se toman tarde y con información incompleta.
Una base mínima para operar con confianza
Antes de dar por cerrada la configuración, conviene verificar al menos estos puntos:
- MFA activo para todos los usuarios y protección reforzada para administradores.
- SPF, DKIM y DMARC configurados y supervisados para cada dominio de envío.
- Políticas antiphishing, antispam y de adjuntos ajustadas al riesgo de la empresa.
- Reenvío externo controlado, auditoría habilitada y proceso de respuesta documentado.
La seguridad no consiste en sumar funciones hasta complicar el trabajo diario. Consiste en aplicar controles que respondan a riesgos concretos, mantenerlos revisados y contar con soporte técnico cuando una alerta requiere criterio. Para empresas que dependen de su correo para vender, coordinar y facturar, la pregunta no es si habrá intentos de ataque, sino si su configuración y su equipo estarán preparados para detenerlos.
