Microsoft 365 incorpora numerosas capas de seguridad, pero contratar la plataforma no significa que una organización quede automáticamente protegida frente a todas las amenazas. Identidades sin autenticación multifactor adecuada, políticas de acceso poco restrictivas, dispositivos sin gestionar, información sensible sin clasificar y una supervisión insuficiente siguen dejando margen para ataques que empiezan muchas veces con algo tan cotidiano como una cuenta de correo comprometida.
Las claves de la seguridad de Microsoft 365 en 30 segundos
- Microsoft asegura que la autenticación multifactor (MFA) puede bloquear más del 99,2 % de los ataques basados en identidades.
- Para cuentas administrativas ya recomienda métodos resistentes al phishing, como passkeys y claves FIDO2.
- El Acceso Condicional permite decidir quién accede, desde qué dispositivo y bajo qué condiciones.
- Microsoft Intune puede incorporar el estado de cumplimiento del dispositivo a esas decisiones.
- Clasificar los datos y monitorizar identidades, correo y endpoints completa una estrategia que no debería depender únicamente de la contraseña.
La imagen de partida resume bien cinco áreas que cualquier organización debería revisar: MFA, Acceso Condicional, gestión de dispositivos móviles (MDM), clasificación de información y monitorización. Pero hay algunos matices importantes.
Por ejemplo, decir simplemente «activar MFA» empieza a quedarse corto en 2026. Microsoft está desplazando su estrategia hacia métodos de autenticación resistentes al phishing, especialmente para las cuentas con privilegios administrativos.
También conviene evitar otra interpretación frecuente: Acceso Condicional no consiste simplemente en impedir conexiones desde determinados países. Microsoft Entra puede evaluar usuarios, recursos, riesgo, redes, plataformas y estado del dispositivo para decidir qué controles aplicar a cada intento de acceso.
1. Seguir dependiendo de usuario y contraseña
El primer error continúa siendo uno de los más básicos: confiar en que una contraseña suficientemente compleja protegerá una cuenta.
Microsoft afirma actualmente que MFA puede bloquear más del 99,2 % de los ataques basados en identidades, mientras sus valores predeterminados de seguridad combinan MFA con el bloqueo de métodos de autenticación heredados.
El problema es que los ataques también han evolucionado.
Un segundo factor mediante SMS o una aprobación push aporta más protección que una contraseña aislada, pero existen campañas capaces de interceptar códigos, utilizar técnicas de adversario en el medio o provocar múltiples solicitudes de autenticación hasta que el usuario termina aceptando una.
Por eso Microsoft considera ahora la MFA resistente al phishing como una nueva referencia de seguridad y está promoviendo mecanismos basados en criptografía como passkeys FIDO2, Windows Hello for Business y otros métodos compatibles.
La prioridad debería ser todavía mayor para administradores.
Microsoft recomienda exigir autenticación resistente al phishing al menos para numerosos roles privilegiados, entre ellos Administrador global, Administrador de seguridad, Administrador de Exchange, Administrador de SharePoint o Administrador de acceso condicional.
Por tanto, la primera revisión de un entorno Microsoft 365 ya no debería limitarse a preguntar:
«¿Tenemos MFA?»
La pregunta más útil es qué usuarios tienen MFA, qué métodos utilizan y qué ocurre con las cuentas privilegiadas.
2. No utilizar Acceso Condicional
Una cuenta legítimamente autenticada tampoco debería recibir automáticamente acceso desde cualquier situación.
Aquí entra Microsoft Entra Conditional Access.
Una empresa puede utilizar estas políticas para establecer condiciones y controles sobre los accesos a sus recursos. Microsoft recomienda actualmente una política base que abarque a todos los usuarios y recursos y exija MFA, con las excepciones cuidadosamente diseñadas que necesite la organización.
El modelo permite ir bastante más lejos.
Puede tenerse en cuenta el dispositivo desde el que se inicia sesión y combinar esta información con las políticas de cumplimiento de Microsoft Intune. También pueden establecerse condiciones relacionadas con plataformas, redes y otros atributos disponibles.
Esto encaja con el principio de Zero Trust: una autenticación válida no debería equivaler automáticamente a confianza absoluta.
Hay, sin embargo, una consideración práctica. Acceso Condicional requiere las licencias correspondientes de Microsoft Entra ID P1 o P2. Para organizaciones que no puedan utilizarlo, Microsoft recomienda mantener habilitados sus valores predeterminados de seguridad.
Esos Security Defaults están disponibles sin coste adicional y proporcionan una línea base que incluye registro en MFA, protección de actividades privilegiadas y bloqueo de determinados mecanismos de autenticación inseguros.
Desactivarlos sin sustituirlos por políticas adecuadas puede abrir precisamente el hueco que se intentaba cerrar.
3. Permitir dispositivos sin gestionar
El tercer problema aparece cuando la identidad está razonablemente protegida pero los dispositivos no.
Ordenadores personales, móviles antiguos o equipos corporativos sin políticas homogéneas pueden convertirse en otra vía de entrada a información empresarial.
La gestión de dispositivos permite establecer requisitos antes de considerar un equipo apto para acceder a determinados recursos.
Microsoft Intune puede utilizarse para gestionar dispositivos y establecer políticas de cumplimiento, mientras Acceso Condicional puede incorporar ese estado a sus decisiones.
La diferencia es importante.
No se trata únicamente de saber que alguien ha introducido correctamente su contraseña y segundo factor. La organización puede valorar también desde qué equipo intenta acceder.
Microsoft advierte, además, que identificar simplemente la plataforma del dispositivo no proporciona una garantía suficiente porque determinados datos, como los user agents, pueden modificarse. Su recomendación es combinar las condiciones de plataforma con políticas de cumplimiento de Intune cuando corresponda.
Para una empresa con trabajo híbrido, móviles corporativos y políticas BYOD (Bring Your Own Device), esa distinción resulta especialmente relevante.
Una identidad válida desde un equipo comprometido continúa siendo un problema.
4. Guardar información sin clasificarla
Microsoft 365 puede contener prácticamente toda la vida documental de una empresa: correo electrónico, contratos, documentación financiera, hojas de cálculo, datos de clientes, presentaciones y archivos compartidos mediante Teams, OneDrive o SharePoint.
Tratar toda esa información de la misma forma complica su protección.
La clasificación permite distinguir entre documentos públicos, internos, confidenciales o sometidos a requisitos particulares y aplicar controles acordes con esa sensibilidad.
Microsoft Purview utiliza etiquetas de confidencialidad (sensitivity labels) para clasificar y proteger información sin que la etiqueta tenga que desaparecer cuando el documento abandona el entorno original.
Esto resulta especialmente importante porque el problema de seguridad no siempre consiste en que un atacante entre desde fuera.
Un archivo confidencial también puede terminar expuesto porque alguien lo comparte con un destinatario equivocado, modifica sus permisos o lo traslada a un lugar inadecuado.
La clasificación introduce contexto sobre el propio dato.
Pero tampoco debería convertirse en una colección interminable de etiquetas que nadie entiende. Para funcionar necesita una política comprensible y relacionada con la información que realmente maneja la organización.
La tecnología puede aplicar controles. Primero hay que decidir qué merece cada nivel de protección.
5. No monitorizar lo que ocurre después del inicio de sesión
El quinto error es asumir que una buena configuración inicial elimina la necesidad de vigilancia.
No lo hace.
Incluso con MFA, dispositivos gestionados y políticas de acceso puede producirse un incidente.
Microsoft 365 genera señales sobre autenticaciones, correo, actividad de usuarios, dispositivos y otros componentes que pueden ayudar a identificar comportamientos anómalos.
El correo electrónico merece especial atención.
Microsoft reconoce expresamente que, aunque Microsoft 365 incorpora múltiples mecanismos contra el phishing, algunos mensajes maliciosos todavía pueden llegar a los buzones. Defender for Office 365 añade capacidades como Safe Links, Safe Attachments y políticas específicas contra phishing, dependiendo del plan contratado.
Microsoft aplica además protecciones predeterminadas a los buzones cloud. Los mensajes identificados como malware o phishing de alta confianza pueden enviarse directamente a cuarentena, incluso frente a determinadas excepciones configuradas por el administrador.
La monitorización sirve para detectar lo que las barreras preventivas no han conseguido detener.
Un inicio de sesión inesperado, una descarga inusual de archivos o determinados cambios administrativos pueden necesitar investigación aunque cada evento aislado parezca técnicamente permitido.
Seguridad de Microsoft 365: mejor pensar en capas
Los cinco errores de la imagen tienen algo en común: ninguno se soluciona instalando un único producto.
La seguridad funciona mejor como una sucesión de controles.
Si una contraseña se filtra, MFA debería dificultar el acceso. Si el atacante intenta utilizar las credenciales desde un entorno sospechoso, las políticas de acceso pueden añadir otra barrera. Si intenta llegar desde un dispositivo que no cumple las políticas, ese contexto puede incorporarse a la decisión. Si consigue acceder, la protección y clasificación de la información pueden limitar parte del daño. Y la monitorización debería ayudar a detectar comportamientos anómalos.
También hay que adaptar los controles al tamaño y licencias de cada empresa.
Una pequeña organización sin Microsoft Entra ID P1 puede comenzar comprobando los Security Defaults. Una empresa con licencias y necesidades más complejas puede desarrollar políticas de Acceso Condicional, cumplimiento de dispositivos y controles basados en riesgo.
Y las cuentas administrativas merecen un tratamiento separado.
En 2026, mantener una cuenta de Administrador global protegida simplemente mediante contraseña y SMS resulta difícil de justificar cuando Microsoft recomienda expresamente métodos resistentes al phishing para los roles privilegiados.
Microsoft 365 ofrece buena parte de las piezas necesarias. La cuestión es comprobar cuáles están realmente activadas, cómo están configuradas y si alguien revisa las señales cuando algo se sale de lo habitual.
Porque disponer de las funciones de seguridad y tener un tenant Microsoft 365 correctamente protegido son dos cosas diferentes.
Preguntas frecuentes
¿Es obligatorio activar MFA en Microsoft 365?
Microsoft está extendiendo los requisitos de MFA en diferentes servicios y mantiene Security Defaults como protección base para los tenants. Además, recomienda políticas de MFA para todos los usuarios y métodos resistentes al phishing para cuentas administrativas.
¿Qué diferencia existe entre MFA y Acceso Condicional?
MFA añade factores adicionales a la autenticación. Acceso Condicional permite establecer políticas que evalúan diferentes condiciones y deciden qué requisitos deben cumplirse para acceder a los recursos.
¿Microsoft 365 está protegido contra phishing por defecto?
Microsoft incorpora protecciones predeterminadas contra malware y phishing, pero reconoce que algunos mensajes maliciosos todavía pueden alcanzar los buzones. Dependiendo de la licencia, Defender for Office 365 permite añadir y configurar controles adicionales.
¿Qué debería revisar primero una pequeña empresa?
Una comprobación inicial razonable incluye verificar MFA o Security Defaults, cuentas administrativas, autenticación heredada, dispositivos que acceden a la información, permisos sobre datos sensibles y mecanismos disponibles para detectar actividad sospechosa.
