Por qué Microsoft 365 suele ser el primer frente real
En muchas pymes españolas el correo, los documentos, el calendario y buena parte de la identidad corporativa viven en Microsoft 365. Eso lo convierte en un objetivo lógico: si un atacante consigue una cuenta válida, puede leer conversaciones comerciales, reenviar facturas, crear reglas ocultas de buzón, acceder a SharePoint y usar la propia reputación de la empresa para engañar a clientes o proveedores. La buena noticia es que una revisión corta y bien enfocada reduce mucho la superficie sin comprar herramientas complejas.
El checklist mínimo que merece la pena revisar
- Activar MFA en todas las cuentas, empezando por administradores y perfiles con acceso a facturación
- Eliminar protocolos heredados y accesos que no soportan MFA cuando el entorno lo permita
- Separar cuentas de administración de las cuentas de uso diario
- Revisar reglas de reenvío automático y reglas sospechosas en buzones críticos
- Comprobar quién puede compartir enlaces anónimos en OneDrive y SharePoint
- Verificar que las cuentas sin uso están bloqueadas o eliminadas
- Configurar alertas para inicios de sesión imposibles, países inusuales y cambios de MFA
- Mantener inventario de administradores globales y justificar cada permiso elevado
MFA no basta si la cuenta ya está mal gobernada
El error habitual es pensar que activar doble factor cierra el problema. MFA ayuda, pero no corrige permisos excesivos, cuentas compartidas, buzones con reglas maliciosas antiguas o documentos publicados con enlaces abiertos. Tampoco evita que un empleado apruebe una solicitud fraudulenta si no entiende el contexto. Por eso la revisión debe combinar identidad, correo, compartición de archivos y formación operativa.
Qué mirar después de un correo sospechoso
- Cabeceras y dominio real del remitente, no solo el nombre visible
- Usuarios que recibieron el mismo mensaje y quién hizo clic
- Inicios de sesión posteriores al clic desde IPs o países no habituales
- Cambios recientes en métodos MFA, contraseñas o reglas de buzón
- Documentos compartidos desde la cuenta afectada
- Respuestas enviadas a proveedores o clientes desde la cuenta comprometida
Cómo convertir la revisión en un hábito mensual
Una pyme no necesita un SOC enorme para mejorar. Necesita una lista corta, responsable claro y evidencia. Cada mes se puede revisar administradores, cuentas inactivas, reglas de reenvío, alertas principales y enlaces compartidos. Si aparece algo raro, se documenta y se corrige. La clave es no depender de la memoria: una comprobación repetible evita que la seguridad sea una tarea que solo existe cuando ya hay un incidente.
En Blurtek revisamos tu caso y diseñamos una implantación segura, medible y sin humo. Si quieres priorizar bien el siguiente paso, hablamos.
Solicitar diagnóstico