Cuentas break-glass en Microsoft 365: el seguro de la empresa

Rara vez un ataque sofisticado. Casi siempre algo trivial:

• Segundo factor perdido El móvil del único administrador se averió, se cambió o desapareció, y era el único método configurado.
• Acceso condicional mal activado Una regla del tipo «solo desde Portugal» o «solo en equipos de la empresa» entró con un error y bloqueó a todos, incluido su autor.
• Salida sin traspaso Un empleado o el proveedor anterior se fue y se llevó las credenciales.
• Cuenta tomada Un atacante entró como administrador y cambió la contraseña y los métodos de autenticación.

La pregunta siempre es la misma: ¿quién entra ahora sin necesitar la cuenta que ha caído?

Una imagen sencilla: piense en el martillo de emergencia tras el cristal de un tren. Nadie lo usa en el día a día, todos saben dónde está y romper el cristal dispara una alarma. Cuando se usa, ha habido una emergencia, y queda registrado.

Microsoft documenta el tema en Microsoft Entra, el servicio de identidades en el que se apoya Microsoft 365. Traducido a decisiones:

• Al menos dos Si una queda inutilizable o comprometida, queda la otra.
• Solo en la nube, en .onmicrosoft.com Independientes del servidor local, de la sincronización y del dominio propio.
• Sin dueño personal Nada de cuentas con el nombre de un empleado ni de móviles personales como factor.
• Autenticación resistente al phishing, sin contraseña Llave física FIDO2 (la opción que Microsoft prioriza) o certificado, distinta del método de las cuentas de administración habituales.
• Fuera de las reglas de bloqueo Excluidas del acceso condicional, para que un error no las bloquee también.
• Administrador global permanente Rol siempre activo, no «elegible» por solicitud de activación.
• Credenciales separadas físicamente Cajas fuertes distintas, accesibles solo a personas autorizadas.
• Alarma en cada uso Cualquier inicio de sesión dispara una alerta crítica para quien decide.
• Prueba trimestral Como máximo cada 90 días y siempre que cambien el equipo de IT o la suscripción.

No. Esa práctica terminó cuando Microsoft hizo obligatorio el MFA en los portales de administración, en el centro de administración de Microsoft 365 desde febrero de 2025. La documentación es explícita: las cuentas de emergencia no son una excepción.

Para estas cuentas, Microsoft señala dos métodos: llave física FIDO2 o autenticación basada en certificados. En una pyme, lo más práctico son dos llaves físicas por cuenta, en lugares distintos. Comparamos los métodos disponibles en la guía de autenticación multifactor para empresas.

La dirección de la empresa, nunca el proveedor de IT. Es una decisión de gestión, no técnica.

• Primera llave En la caja fuerte de la empresa, al alcance de la dirección.
• Segunda llave En otro lugar: otra oficina, la caja fuerte personal de un directivo o una caja de seguridad bancaria.
• Registro Quién tiene acceso, dónde están y fecha de la última prueba, por escrito.
• Contraseñas asociadas En un gestor de contraseñas para empresas, en un cofre reservado a la dirección.

El socio de IT opera con cuentas de administración nominales, una por técnico. Las cuentas break-glass garantizan que la empresa nunca dependa de nadie, nosotros incluidos. Recomendamos confirmar este punto en cualquier contrato, como detallamos en lo que debe decir un contrato de IT sobre la salida y los datos.

1. ¿Hay dos o más cuentas de emergencia en .onmicrosoft.com?
2. ¿Están libres de cualquier vínculo con personas o móviles personales?
3. ¿Se autentican con llave física o certificado, y no con SMS o app?
4. ¿Quedan fuera del acceso condicional que bloquea inicios de sesión?
5. ¿La dirección sabe dónde están las llaves, y están separadas?
6. ¿Un inicio de sesión en una de ellas dispara una alerta inmediata?
7. ¿La última prueba fue hace menos de 90 días?
8. ¿Cada técnico tiene su propia cuenta de administración, sin compartir?

Dos o más «no» o «no lo sé» significan un riesgo concreto. Buena parte de los fallos que encontramos en la protección del correo en Microsoft 365 nace precisamente en la administración.

En la União das Freguesias de Massamá e Monte Abraão, DataRoad llevó unos 50 buzones a Exchange Online, con todo el contenido transferido, puestos y móviles reconfigurados y validación final. En una entidad pública, la administración del entorno tiene que seguir siendo de la entidad, sea cual sea el proveedor.

Es el estándar en todos los entornos Microsoft 365 que gestionamos: cuentas nominales para los técnicos, cuentas de emergencia en manos del cliente y un registro inequívoco de accesos.

Auditamos las cuentas de administración y de emergencia, los métodos de autenticación y las reglas de acceso, y le entregamos las correcciones ordenadas por prioridad, sin compromiso. Vea nuestra gestión de Microsoft 365 y los planes de servicios gestionados IT Unlimited.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. +351 211 459 950 * · sales@dataroad.pt

*Llamada a la red fija portuguesa.

• Microsoft Learn: cuentas de acceso de emergencia en Entra ID
• Microsoft Learn: MFA obligatorio en los portales de administración