La caída de Microsoft 365 que seguimos desde el 12 de noviembre dejó sin correo, Teams o SharePoint a muchas organizaciones durante más de un día, y puede dar derecho a créditos de servicio si la disponibilidad mensual de cada tenant bajó del 99,9 % que garantiza Microsoft. El procedimiento económico, con un modelo de solicitud, lo explicamos en detalle en Revista Cloud. Para los equipos de seguridad y cumplimiento hay otra parte igual de importante: reunir pruebas sólidas, evitar fraudes que se aprovechen de la situación y revisar si la interrupción obliga a notificar algo.
Las claves de la reclamación del SLA de Microsoft 365 en 20 segundos
- El crédito no es automático: lo pide el administrador del tenant o el proveedor CSP.
- Hacen falta el GUID del tenant, el identificador del incidente y pruebas del impacto.
- Para Microsoft 365, el plazo para esta caída termina el 31/12/2026.
- Cualquier correo que ofrezca un «reembolso» por la caída debe tratarse como posible phishing.
En el centro de administración de algunos tenants españoles, los incidentes MO1550821 (Microsoft 365) y EX1550543 (Exchange Online) figuran entre las 11:05 del 12 de noviembre y las 17:10 del 13, hora peninsular, unas 30 horas. El análisis publicado por CloudPrivado sitúa el inicio hacia las 17:17 del 12 y la restauración global el sábado 14, y recoge que Microsoft lo atribuyó a un fallo técnico introducido en una ampliación de capacidad de red, no a un ciberataque. También afectó a Defender, Purview, Intune y parte del centro de administración. Ese último detalle importa en seguridad: durante horas, muchos administradores trabajaron con visibilidad reducida sobre sus propias herramientas de protección. Para la reclamación, lo que cuenta son las horas que muestra el Estado del servicio de cada tenant.
Las pruebas: qué guardar y cómo
La documentación de Microsoft para partners deja claro que el nombre del cliente o un número de ticket no bastan para tramitar una reclamación. Hay que aportar el GUID del tenant, el identificador del incidente que figura en la página de Estado del servicio, pruebas de que la organización sufrió la caída y si las suscripciones se compraron a través del programa CSP. Como pruebas del impacto, Microsoft acepta la hora y duración de la caída, el número y ubicación de los usuarios afectados, los intentos de resolverla y los tickets abiertos durante el incidente.
Desde el punto de vista de seguridad, conviene tratar esa documentación como cualquier otra evidencia de un incidente:
- Exportar y guardar los avisos del panel de Estado del servicio y del informe posterior al incidente cuando Microsoft lo publique.
- Conservar los registros de la monitorización propia (pruebas sintéticas de correo, alertas de disponibilidad) con sus marcas de tiempo.
- Recopilar los tickets internos y los avisos de usuarios, indicando oficina o país.
- Guardar todo en un repositorio fuera de Microsoft 365, para no depender del propio servicio caído.
Si la reclamación la tramita un partner, Microsoft exige un correo del cliente afectado enviado desde el dominio del tenant, no desde una cuenta personal. Es un requisito de verificación que también protege frente a reclamaciones suplantadas. Si la compra es directa, la solicitud se abre en admin.microsoft.com, desde Ayuda y soporte técnico › Contactar con el soporte técnico; elegir el canal por correo deja constancia escrita.
Ojo con los falsos reembolsos
Las grandes caídas de servicios populares son un pretexto habitual para campañas de phishing, y una que afecta a millones de usuarios de Microsoft 365 lo es todavía más. El crédito del SLA no se paga a usuarios individuales ni por transferencia: se aplica a la factura de la organización, o a la del partner, una vez aprobado. Cualquier correo, SMS o mensaje de Teams que ofrezca un reembolso por la caída, pida iniciar sesión en un enlace o solicite datos bancarios debe tratarse como sospechoso. Merece la pena avisar a la plantilla y recordar que el proceso lo lleva el departamento de TI.
Plazos, límites y obligaciones de notificación
Para los servicios distintos de Azure, como Microsoft 365, la documentación de Partner Center fija un plazo de un mes desde el final del mes de facturación del incidente. Para la caída de noviembre, la reclamación debe estar presentada antes del 31 de diciembre de 2026. El crédito oscila entre el 25 % y el 100 % de la cuota mensual del servicio afectado, según cuánto haya bajado la disponibilidad, y solo cubre ese servicio y esa cuota, no las pérdidas de negocio. Una caída total de unas 30 horas deja noviembre en torno al 95,8 %, lo que corresponde al tramo del 50 %. Las incidencias marcadas solo como aviso en el panel de estado no suelen dar derecho a crédito.
La reclamación también es un buen momento para revisar el cumplimiento. Las entidades sujetas a la Directiva NIS2 deben valorar si la interrupción de un proveedor esencial afectó a la prestación de sus servicios hasta el punto de constituir un incidente significativo, y las entidades financieras sujetas al Reglamento DORA tienen obligaciones específicas de registro y clasificación de incidentes relacionados con proveedores tecnológicos. En ambos casos, la misma documentación reunida para el SLA sirve como base. Ante dudas sobre el alcance legal, lo recomendable es consultar con el responsable de cumplimiento o un asesor jurídico.
CloudPrivado recuerda además que muchas pólizas de ciberseguro cubren ataques, pero no caídas no maliciosas del proveedor, y que a menudo aplican franquicias temporales de varias horas. Revisarlas ahora, junto con un canal de comunicación alternativo que no dependa de la misma identidad de Microsoft Entra ID y una copia de los datos fuera de Microsoft 365, es la parte de la lección que más protege frente a la próxima caída.
Preguntas frecuentes
¿Quién puede reclamar el crédito del SLA?
El administrador del tenant si se compra directamente a Microsoft, o el proveedor CSP si las licencias se adquirieron a través de un partner.
¿Microsoft envía correos ofreciendo reembolsos por la caída?
El crédito se aplica a la factura de la organización tras una reclamación; un mensaje que ofrezca un reembolso y pida credenciales o datos bancarios debe tratarse como posible phishing.
¿Hay que notificar la caída bajo NIS2?
Depende de si afectó de forma significativa a los servicios de la entidad. Cada organización sujeta a NIS2 debe valorarlo con su responsable de cumplimiento.
Fuentes:
