Cómo se roban las credenciales en la práctica
- Phishing dirigido. Un mensaje que imita una notificación de Microsoft, de un proveedor o de un directivo lleva a una página de inicio de sesión idéntica a la real. La contraseña se escribe en el sitio del atacante.
- Phishing que vence el segundo factor. Las páginas intermediarias modernas, de tipo adversary-in-the-middle, capturan la contraseña, el código del MFA y la cookie de sesión. Con esa cookie el atacante entra sin volver a autenticarse. Es la razón por la que el MFA por SMS ya no se considera suficiente.
- Autenticación heredada. Protocolos antiguos como POP, IMAP y SMTP básico no saben pedir un segundo factor: aceptan usuario y contraseña, y nada más. Mientras estén habilitados, el MFA se puede esquivar.
- Contraseñas reutilizadas. La misma contraseña del correo de trabajo aparece en la filtración de otro servicio y se prueba de forma automatizada contra el tenant.
- Consentimiento a aplicaciones. El usuario autoriza una aplicación de terceros que pide leer su correo. No hay robo de contraseña y el acceso persiste igual.
Paso uno: MFA para todos, empezando por los administradores
La autenticación multifactor sigue siendo la medida con mejor relación entre esfuerzo y riesgo evitado. Dos precisiones que cambian el resultado: debe aplicarse a todos los usuarios, no sólo a dirección y a TI, porque cualquier buzón sirve para enviar fraude interno; y debe aplicarse también a las cuentas de servicio y a las de administrador, que suelen quedar exentas "temporalmente".
El método importa. La aplicación Microsoft Authenticator con aprobación numérica resiste mucho mejor que un código por SMS, que es interceptable y vulnerable al cambio fraudulento de línea. Para las cuentas de administrador, lo correcto es una llave de seguridad física o passkey, que es resistente al phishing porque está ligada al dominio real.
Paso dos: acceso condicional, para que el MFA no sea un trámite
El acceso condicional evalúa cada intento de inicio de sesión y decide: permitir, exigir un factor adicional o bloquear. Es lo que convierte al MFA de una casilla activada en una política real.
- Bloquear la autenticación heredada por completo. Es la regla que más cierra de golpe.
- Exigir MFA para cualquier acceso desde fuera de las redes conocidas de la empresa.
- Exigir un dispositivo administrado o cumpliendo políticas para acceder a los datos, no sólo una contraseña correcta.
- Restringir el inicio de sesión desde países donde la empresa no opera.
- Reducir la duración de la sesión para las cuentas con privilegios, de modo que una cookie robada caduque pronto.
- Dejar siempre una cuenta de acceso de emergencia excluida de las políticas, con contraseña larga guardada fuera del sistema, para no quedar bloqueado por la propia regla.
Paso tres: cerrar lo que está abierto de fábrica
Un tenant recién creado no es un tenant seguro. Hay cuatro puntos de higiene que se revisan rápido y que suelen estar mal: el número de administradores globales, que debería ser mínimo y con cuentas dedicadas sin buzón de uso diario; la auditoría de buzones, que conviene verificar que esté activa porque sin ella no hay forma de reconstruir qué leyó o borró un intruso; la creación de reglas de reenvío automático hacia dominios externos, que es la primera cosa que hace un atacante y que se puede bloquear; y la autorización de aplicaciones de terceros por parte del usuario, que debería pasar por aprobación del administrador.
A eso se suma revisar la compartición externa de SharePoint y OneDrive: los enlaces de "cualquier persona con el enlace" son útiles y también son la fuga más silenciosa que existe.
Paso cuatro: detectar y contener
Asumir que tarde o temprano una cuenta caerá cambia las preguntas. Hay que poder notar el inicio de sesión imposible, el reenvío recién creado, el acceso desde un país nuevo, la descarga masiva de archivos. Entra ID y el portal de seguridad generan esas alertas; el problema casi nunca es que no existan, sino que nadie las mira.
Y hay que tener escrito el procedimiento de contención, porque se ejecuta bajo presión: revocar las sesiones activas de la cuenta —no sólo cambiar la contraseña, que no cierra la sesión robada—, restablecer los métodos de MFA, revisar y eliminar reglas de reenvío y delegaciones, revisar las aplicaciones autorizadas, y recién entonces reconstruir qué se vio y qué se borró, con el registro de auditoría y con el respaldo.
Dónde entramos nosotros
igeckoo implementa y opera esta configuración como parte de sus servicios administrados de ciberseguridad: MFA y acceso condicional en Entra ID, protección de equipos con Defender for Business, respaldo con Acronis y revisión periódica del tenant, con costo fijo mensual y soporte en español. La forma habitual de empezar es una evaluación del estado actual, que normalmente devuelve una lista corta y accionable.