Área: Correo
Microsoft 365
Con vuestra cuenta de Microsoft 365 conectada (solo lectura): autenticación multifactor, administradores globales, cuentas olvidadas y usuarios de riesgo.
Qué puede encontrar
Abre cada uno para ver qué significa y cómo arreglarlo.
Administradores de Microsoft 365 sin MFA
Qué significa
Algunas cuentas de administrador de vuestro Microsoft 365 entran solo con contraseña, sin autenticación multifactor. Un administrador puede leer el correo de cualquiera, crear cuentas y cambiar cualquier ajuste.
Qué te podría pasar
Es la cuenta más valiosa de la empresa. Si le roban la contraseña con un phishing o una filtración, el intruso se queda con todo el inquilino. Es crítico.
Cómo lo aprovecharía un atacante
Un administrador recibe una falsa «alerta de seguridad de Microsoft» y escribe su contraseña en una copia de la página de acceso. Sin nada más que lo frene, el atacante entra como administrador y se crea una cuenta propia escondida.
Cómo arreglarlo
- Pedid hoy a cada administrador de la lista que registre MFA en su cuenta de Microsoft.
- Mejor Microsoft Authenticator o una llave de seguridad que los códigos por SMS.Las llaves de seguridad no se pueden robar con phishing; los SMS se pueden interceptar.
- En el centro de administración de Microsoft Entra (entra.microsoft.com), exigid MFA a los administradores con los valores de seguridad predeterminados o el acceso condicional.
- Comprobad que ninguna cuenta de administrador la comparten varias personas.
Cómo comprobar que está arreglado
Ward vuelve a leer vuestro inquilino en cada análisis. El hallazgo desaparece cuando todos los administradores tienen MFA registrado.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.
Cuentas de Microsoft 365 sin MFA
Qué significa
Estas personas de vuestro Microsoft 365 entran solo con su contraseña. La autenticación multifactor añade una segunda comprobación, normalmente un aviso en el móvil.
Qué te podría pasar
Las contraseñas se roban con phishing o en filtraciones de otros servicios. Sin un segundo paso, quien tenga la contraseña lee el correo de esa persona y puede escribir desde él a clientes.
Cómo lo aprovecharía un atacante
Una contraseña reutilizada en otra web se filtra. Alguien la prueba en el correo de la empresa, entra y manda a los clientes una factura con un número de cuenta nuevo.
Cómo arreglarlo
- Explicad a las personas de la lista por qué importa y pedidles que registren MFA.
- Recomendad Microsoft Authenticator en el móvil: es lo más cómodo para casi todo el mundo.
- En el centro de administración de Microsoft Entra (entra.microsoft.com), haced el MFA obligatorio con los valores de seguridad predeterminados o el acceso condicional.
Cómo comprobar que está arreglado
Ward vuelve a leer vuestro inquilino en cada análisis. El hallazgo desaparece cuando todas las personas de la lista tienen MFA.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.
MFA no obligatorio
Qué significa
En vuestro Microsoft 365, el MFA no es obligatorio: los valores de seguridad predeterminados están apagados y no hay una directiva de acceso condicional que lo exija a todos.
Qué te podría pasar
Lo voluntario acaba sin hacerse. Las cuentas nuevas empiezan sin MFA y cualquiera puede quitarlo. Hacerlo obligatorio mantiene la protección por defecto.
Cómo lo aprovecharía un atacante
Entra una persona nueva y nunca registra MFA porque nada lo exige. Meses después su contraseña se filtra y nadie se da cuenta de que esa cuenta quedó sin protección.
Cómo arreglarlo
- En el centro de administración de Microsoft Entra (entra.microsoft.com), activad los valores de seguridad predeterminados, o
- Cread una directiva de acceso condicional que exija MFA a todos (hace falta Entra ID P1).
- Dad unos días para que la gente se registre antes de obligarlo.
Cómo comprobar que está arreglado
Ward vuelve a leer vuestras directivas en cada análisis. El hallazgo desaparece cuando el MFA es obligatorio para todos.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.
Demasiados administradores globales
Qué significa
Vuestro Microsoft 365 tiene más administradores globales de los necesarios. Cada uno puede hacerlo todo: leer cualquier correo, borrar cuentas y cambiar la seguridad.
Qué te podría pasar
Cada administrador global es una llave maestra más. Cuantos más hay, más posibilidades de que roben una y más difícil saber quién cambió qué.
Cómo lo aprovecharía un atacante
Uno de varios administradores globales, que apenas usa el centro de administración, cae en un correo de phishing. El intruso tiene el control total sin haber engañado a quien de verdad gestiona el inquilino.
Cómo arreglarlo
- Decidid quién necesita de verdad ser administrador global: suelen bastar dos o tres personas.
- En el centro de administración de Microsoft Entra (entra.microsoft.com) o En el centro de administración de Microsoft 365 (admin.microsoft.com), quitad el rol de administrador global al resto.
- A quien aún gestione algo, dadle un rol más limitado, como administrador de usuarios o de soporte.
- Comprobad que los administradores globales que quedan tienen MFA con llave de seguridad.
Cómo comprobar que está arreglado
Ward vuelve a leer vuestros roles en cada análisis. El hallazgo desaparece cuando hay tres administradores globales o menos.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.
Cuentas de Microsoft 365 olvidadas
Qué significa
Estas cuentas de Microsoft 365 siguen activas pero nadie entra en ellas desde hace meses. Suelen ser antiguos empleados, becarios o cuentas de prueba que nunca se cerraron.
Qué te podría pasar
Una cuenta que nadie usa sigue teniendo contraseña y acceso al correo y los archivos. Si esa contraseña se filtra, un intruso puede usarla sin que nadie lo note.
Cómo lo aprovecharía un atacante
La contraseña de un antiguo empleado aparece en una filtración. Alguien entra en su cuenta de trabajo, que sigue activa, lee correos antiguos con clientes y los usa para mandar una factura falsa.
Cómo arreglarlo
- Revisad cada cuenta de la lista: ¿es un antiguo empleado, una cuenta de prueba o alguien de baja?
- En el centro de administración de Microsoft 365 (admin.microsoft.com), bloquead el inicio de sesión de las cuentas que ya no necesitéis.Podéis conservar su buzón y sus archivos, o pasárselos antes a otra persona.
- A las cuentas que mantengáis, cambiadles la contraseña y pedidles MFA.
- Añadid el cierre de las cuentas de trabajo a lo que hacéis cuando alguien deja la empresa.
Cómo comprobar que está arreglado
Ward vuelve a leer la actividad de inicio de sesión en cada análisis (hace falta Entra ID P1). El hallazgo desaparece cuando ninguna cuenta activa lleva más de 90 días sin usarse.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.
Usuarios que Microsoft marca en riesgo
Qué significa
Microsoft Identity Protection ha marcado estas cuentas como de riesgo: inicios de sesión raros o credenciales vistas en una filtración.
Qué te podría pasar
Puede ser la persona de viaje, pero también es la señal típica de que otra persona tiene su contraseña. Si no fue ella, el intruso puede haber leído ya su correo.
Cómo lo aprovecharía un atacante
Alguien con una contraseña robada entra desde otro país. Microsoft lo marca, pero si nadie lo revisa, el intruso crea una regla de reenvío y empieza a escribir a los clientes.
Cómo arreglarlo
- En el centro de administración de Microsoft Entra (entra.microsoft.com), abrid Identidad → Usuarios de riesgo y revisad cada cuenta de la lista.
- Si no fue ella, cambiad su contraseña y revocad sus sesiones.
- Pedid MFA en esas cuentas si no lo tienen.
- Revisad su buzón por si hay reglas de reenvío o filtros que no crearon ellas.
Cómo comprobar que está arreglado
Ward vuelve a leer Identity Protection en cada análisis (hace falta Entra ID P2). El hallazgo desaparece cuando ningún usuario queda en estado de riesgo.
Quién suele arreglarlo
Tu informático
Ejemplo con datos de muestra. En tu panel, la explicación usa tu propio dominio y tus datos.