En resumen
- La protección básica de Microsoft 365 bloquea el spam y el malware conocidos. No bloquea un correo electrónico auténtico, proveniente de una cuenta auténtica, que solicite una transferencia.
- En 2025, la estafa del “CEO falso” y la factura alterada representaron el 18% de los incidentes de ingeniería social notificados al CERT.PT (CNCS).
- Tres ataques ocurren con frecuencia: la factura con IBAN alterada, la falsa página de inicio de sesión de Microsoft 365 y el archivo adjunto o código QR malicioso.
- Cuatro medidas cierran la mayor parte de la puerta: autenticación multifactor, bloqueo de redirecciones, autenticación del dominio (SPF, DKIM y DMARC) y una simple regla de confirmación por teléfono.
En este artículo
- Lo que hace la protección básica — y lo que no puede hacer
- Atención 1: la factura con el IBAN cambiado
- Atac 2: la página falsa de Microsoft 365
- Atac 3: el anexo o el código QR
- Qué desencadena estos ataques
- Un caso real: 50 cajas de correo migradas a Microsoft 365
- ¿De dónde empezar mañana?
- Preguntas frecuentes
- Diagnóstico por correo electrónico a Microsoft 365 en 5 días hábiles
La seguridad del correo electrónico en Microsoft 365 viene ligada a una fuente original, pero fue diseñada para capturar lo que claramente es basura: spam, virus conocidos, enlaces ya identificados como peligrosos. Los ataques que hoy cuestan dinero a las empresas portuguesas son otros. Llegan bien escritos, a menudo desde una casilla de correo legítima, y piden algo banal —pagar una factura o “confirmar su contraseña”.
Según datos del Centro Nacional de Ciberseguridad (CNCS) divulgados en 2026, el CERT.PT registró 3.864 incidentes en 2025, 40% más que el año anterior. La estafa por correo electrónico que se presenta como administrador o proveedor valió por sí sola 18% de los incidentes de ingeniería social notificados.
Lo que hace la protección básica — y lo que no puede hacer
El filtro de Microsoft 365 es bueno en lo que está diseñado: compara cada mensaje con lo que ya se sabe que es peligroso. Un virus conocido queda retenido; un servidor de spam conocido ni siquiera llega a la bandeja de entrada.
Lo que no se puede evaluar es la intención. Un correo enviado desde la cuenta real de un proveedor que dice “nos hemos cambiado de banco” pasa por todos los controles técnicos: no contiene virus ni enlaces sospechosos, y viene de la dirección que dice que proviene.
Atención 1: la factura con el IBAN cambiado
Es el ataque más caro y más simple: el criminal accede a la bandeja de entrada de un proveedor (o de su propia empresa), lee las conversaciones durante semanas y espera por una factura grande. En ese momento, responde en el mismo hilo de conversación: “Atención, a partir de este mes el pago debe hacerse al nuevo IBAN adjunto.”
Variante frecuente: un dominio con una letra cambiada. En broma, nadie se da cuenta.
Lo que desencadena este ataque no es tecnología sofisticada. Es una regla escrita: No se aceptan cambios de datos bancarios por correo electrónico.. Siempre se confirma por teléfono, a un número que ya estaba en la ficha del proveedor — nunca al que aparece en el mensaje. Hemos explicado el proceso completo en el artículo sobre Fraude por correo electrónico y facturas modificadas.
Atac 2: la página falsa de Microsoft 365
Se recibe un correo electrónico que dice que hay “un documento compartido con usted” o que “su buzón está lleno”. El enlace abre una página igual a la pantalla de entrada de Microsoft 365, con el logotipo y los colores correctos. La persona escribe el correo electrónico y la contraseña. Listo: el criminal tiene la cuenta.
El siguiente paso es discreto: una regla en la bandeja de entrada que redirecciona las mensajes con la palabra “factura” o “pagamento”, o los oculta en una carpeta que nadie abre. Así nace el ataque 1, desde su propia empresa.
Atac 3: el anexo o el código QR
A medida que los filtros analizan cada vez mejor los enlaces, los atacantes han cambiado de formato: un PDF con un código QR “para firmar el documento”, una imagen en lugar de texto, un archivo adjunto protegido por contraseña que el filtro no puede abrir.
El código QR lleva a la persona a abrir el enlace en su teléfono personal, fuera de los sistemas de protección de la empresa. La página que se abre es casi siempre otra versión del ataque 2.
Qué desencadena estos ataques
Ninguna de estas medidas requiere la compra de una marca específica: son configuraciones de Microsoft 365 y reglas internas.
| Medida | Qué ataque se detiene | En lenguaje simple |
|---|---|---|
| Autenticación multifactor en todas las cuentas | 2 y 3 | La contraseña robada deja de llegar para entrar. |
| Bloquear el reenviado automático hacia fuera | 1 y 2 | Una cuenta comprometida no puede enviar sus emails, en silencio, al exterior. |
| SPF, DKIM y DMARC en su dominio | 1 | El que reciba un correo electrónico falso “de su empresa” puede detectarlo y rechazarlo. |
| Confirmación por teléfono de los datos bancarios | 1 | Ningún IBAN cambia por correo electrónico. Punto final. |
| Formación corta y regular | 1, 2 y 3 | La gente reconoce el patrón: urgencia, secreto, enlace para “confirmar”. |
Reenvíos: no dejes la decisión al sistema
En Microsoft 365, la política que controla el reenviado automático a direcciones externas viene por defecto en modo “automático, controlado por el sistema”. Microsoft misma recomienda definir explícitamente si está activado o desactivado, porque el comportamiento puede variar entre organizaciones. Para la mayoría de las PYMES, la respuesta correcta es desactivado, con excepciones aprobadas caso por caso.
SPF, DKIM y DMARC, explicados sin jerga
Son tres registros técnicos en su dominio que prueban que un correo electrónico “de su empresa” es realmente de su empresa.
Microsoft es clara: usar solo una parte de estos métodos resulta en una protección insuficiente. Se hace en fases: primero se inventaria todos los servicios que envían correo electrónico en su nombre (facturación, boletín informativo, CRM), luego se endurecería la política. Si se hace de manera apresurada, el DMARC puede bloquear sus propias facturas.
La base de todo es la Autenticación multifactor en todas las cuentas. Y antes de comprar cualquier cosa, asegúrate de que Las funciones de seguridad ya incluyen su licencia de Microsoft 365.
Un caso real: 50 cajas de correo migradas a Microsoft 365
La Unión de Freguesias de Massamá y Monte Abraão eligió a DataRoad, por concurso público, para Migrar cerca de 50 cajas de correo a Microsoft 365 (Exchange Online). El proyecto incluyó la transferencia completa de los correos electrónicos, la estructura y los datos, así como la reconfiguración de los puestos de trabajo y los teléfonos móviles, con validación al final.
La lección: una migración es el momento adecuado para dejar la seguridad definida desde cero. Configurar 50 buzones de correo una vez, con las reglas correctas, cuesta mucho menos que corregirlas una por una después de un incidente.
¿De dónde empezar mañana?
Compruebe que todas las cuentas —incluyendo las compartidas y las de administración— tienen autenticación multifactor. Solicite la lista de redirecciones activas: cualquier regla para una dirección externa que nadie pueda explicar es un aliciente. Verifique cómo está configurado el DMARC de su dominio, escriba la regla de confirmación por teléfono y marque una sesión para Entrenar a los equipos contra el phishing.
Preguntas frecuentes
¿El Microsoft 365 ya no tiene protección de correo electrónico incluida?
Sí, y es buena contra spam y malware conocidos. No bloquea los correos electrónicos legítimos enviados desde cuentas comprometidas ni los pedidos de pago bien escritos. Estas fallas se pueden solucionar mediante configuración (autenticación multifactor, redirecciones, SPF, DKIM y DMARC) y mediante reglas internas.
¿Necesito comprar otra herramienta de seguridad de correo electrónico?
No siempre. En muchas PYMES, el mayor beneficio proviene de configurar bien lo que ya incluye la licencia. Las herramientas adicionales cobran sentido después de esta base, según el riesgo y el sector.
¿Cómo sé si mi dominio tiene DMARC?
Puede pedir a su proveedor de TI que lea los registros SPF, DKIM y DMARC del dominio. Si el DMARC no existe o solo está en modo de observación, cualquier persona puede enviar correos electrónicos que parecen provenir de su empresa con menos obstáculos.
Un colaborador introdujo la contraseña en una página falsa. ¿Qué hacer?
Modifique la contraseña de inmediato, termine todas las sesiones activas, confirme que la autenticación multifactor está activada y revise las reglas de la carpeta de correo y los redireccionamientos creados en los últimos días. Avise a la contabilidad para suspender los pagos con cambios recientes en el IBAN.
Diagnóstico por correo electrónico a Microsoft 365 en 5 días hábiles
Verificamos la autenticación multifactor, los redireccionamientos, las reglas de los buzones de correo y SPF, DKIM y DMARC, y entregamos las correcciones por orden de prioridad. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico. La gestión continua está incluida en los planes. IT Unlimited Premium e no serviço de Microsoft 365 para empresas, Como parte de nuestro ciberseguridad gestionada.
Diagnóstico por correo electrónico en 5 días hábiles
Descubra qué está pasando con la protección básica de su Microsoft 365.
Fuentes
- Renacimiento — Aviso del CNCS: la estafa del “falso CEO” representó el 18% de los incidentes de ingeniería social notificados al CERT.PT en 2025
- Lusa / DNoticias — Datos del CNCS: 3.864 incidentes registrados por el CERT.PT en 2025 (+40%)
- Microsoft Learn — Autenticación de correo en Microsoft 365 (SPF, DKIM y DMARC)
- Microsoft Learn — Control del redireccionamiento externo de correo electrónico en Microsoft 365
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
