Office 365 Correo: Guía de Seguridad y Configuración para Pymes

El correo corporativo es la herramienta operativa más usada en la empresa y, a la vez, la principal puerta de entrada de los incidentes de ciberseguridad. Cuando una pyme contrata Office 365 correo (hoy integrado en la plataforma Microsoft 365), suele asumir que el servicio incluye de fábrica un escudo impenetrable. La realidad es distinta: Microsoft aporta alta disponibilidad y filtros perimetrales base, pero la configuración, los permisos y la defensa contra el fraude recaen en la empresa.

En nuestro trabajo diario auditando redes en empresas de Sevilla y Andalucía, vemos suscripciones activas con buzones en parámetros predeterminados: autenticación débil, protocolos antiguos habilitados y dominios expuestos a ser suplantados en minutos para estafar a clientes o proveedores.

Convertirlo en un canal fiable exige entender qué vectores usan los ciberdelincuentes, qué registros DNS activar y cómo aplicar políticas estrictas de control. No requiere presupuestos desorbitados, sino rigor técnico y mantenimiento sistemático.

1. El correo de Office 365 en la pyme: más allá del buzón estándar

Para la mayoría, Office 365 correo es la interfaz de Outlook en web o escritorio. Por debajo opera Exchange Online, un motor de mensajería empresarial que gestiona identidades a través de Microsoft Entra ID (antes Azure Active Directory).

El error de partida de muchos negocios es tratar este ecosistema como un buzón POP3 o IMAP tradicional de hosting compartido. En un entorno cloud, el buzón no es una isla: está interconectado con SharePoint, OneDrive, Teams y el directorio de usuarios de toda la organización. Si un atacante compromete una cuenta, no solo lee los mensajes: accede al historial de archivos compartidos, a la lista global de direcciones y puede moverse lateralmente por la infraestructura.

Configurarlo exige ir más allá de crear usuarios y asignar licencias: directivas de retención, políticas antispam y antiphishing desde Microsoft Defender y visibilidad limitada de calendarios y libretas hacia el exterior. Nuestro despliegue de servicios de ciberseguridad parte de modelar qué necesita cada puesto y cerrar todo lo no imprescindible.

2. Amenazas reales que entran por el email corporativo

El correo electrónico sigue siendo el vector inicial de la inmensa mayoría de los incidentes de seguridad corporativos: pocas veces atacan el centro de datos de Microsoft; atacan al eslabón humano o a los descuidos en la verificación de identidad.

Phishing y suplantación de identidad (BEC)

El ataque más dañino para las finanzas de una pyme es el compromiso del correo corporativo (BEC o Business Email Compromise). A diferencia del spam genérico, el atacante estudia a la empresa, detecta quién gestiona los pagos y quién emite las órdenes de transferencia.

Existen dos variantes habituales en campo:

1. Suplantación externa (Spoofing): El ciberdelincuente envía un correo desde tu dominio (o uno muy similar, typosquatting) simulando ser el director general o administración, y solicita el cambio urgente de una cuenta bancaria para una factura pendiente.
2. Secuestro de cuenta (Account Takeover): Tras un phishing previo, el atacante obtiene credenciales reales, entra al buzón y crea reglas ocultas de reenvío en Outlook. Monitoriza en silencio las conversaciones y, cuando se va a cerrar una operación, interviene en el hilo legítimo adjuntando una factura modificada con su propio número de cuenta.

Fuga de credenciales y accesos no autorizados

El robo de credenciales suele llegar vía credential harvesting: un correo que simula ser de Microsoft anuncia una contraseña que caduca o correos retenidos en cuarentena, con un enlace a una réplica exacta del inicio de sesión de Office 365.

Sin bloqueo condicional ni doble factor, el atacante se autentica desde cualquier parte del mundo. Además de manipular el correo, usa ese buzón legítimo para lanzar campañas masivas de phishing, lo que puede llevar el dominio de tu negocio a listas negras (RBL) y paralizar la operativa.

3. Configuración técnica esencial: SPF, DKIM y DMARC

Blindar el correo exige demostrar al resto de servidores que los mensajes que llevan tu nombre salen de tus sistemas autorizados. Para eso se implementan, de forma coordinada, tres registros en el DNS de tu dominio.

Protocolo	Función principal	Consecuencia de no configurarlo
SPF (Sender Policy Framework)	Lista pública de IPs y servidores autorizados para enviar correos en nombre de tu dominio.	Cualquier servidor de Internet puede enviar mensajes haciéndose pasar por tu empresa sin ser rechazado de inmediato.
DKIM (DomainKeys Identified Mail)	Firma criptográfica añadida a las cabeceras de cada correo para certificar que el contenido no ha sido alterado en tránsito.	Los servidores de destino no pueden validar si el mensaje fue modificado por un intermediario entre el remitente y el receptor.
DMARC (Domain-based Message Authentication)	Política que indica al receptor qué hacer si SPF o DKIM fallan (monitorizar, poner en cuarentena o rechazar) y envía reportes.	Sin DMARC, la protección queda a medias: los servidores de destino deciden de forma dispar qué hacer con el correo fraudulento.

La implementación debe ser milimétrica:

• SPF: Registro TXT. En Office 365 la directiva base incluye v=spf1 include:spf.protection.outlook.com -all; -all (rechazo estricto) es preferible a ~all (softfail) una vez identificados todos los remitentes legítimos (CRM, marketing).
• DKIM: No basta con activarlo en Exchange: requiere dos registros CNAME en el DNS que apunten a las claves públicas que Microsoft gestiona para tu tenant.
• DMARC: Debe empezar en modo monitorización (p=none) analizando los reportes XML para detectar servicios legítimos que fallen en autenticación; tras subsanarlos, elevar a cuarentena (p=quarantine) y finalmente a rechazo total (p=reject).

Esta arquitectura es uno de los primeros pasos que ejecutamos en una auditoría de ciberseguridad técnica.

4. Bastionado de buzones: MFA, bloqueo de protocolos heredados y alertas

Los DNS al día evitan la suplantación exterior; para evitar que asalten los buzones por dentro hace falta bastionado (hardening) en el panel de administración de Microsoft 365.

1. Autenticación Multifactor (MFA): Es la medida individual más efectiva. Una verificación adicional desde una aplicación en el móvil frena la inmensa mayoría de ataques con contraseñas filtradas. Sin excepciones, especialmente en cuentas directivas o administrativas.
2. Bloqueo de autenticación básica: Protocolos antiguos como POP3, IMAP o SMTP básico no admiten MFA y se usan en fuerza bruta (password spraying) evadiendo el segundo factor: deshabilítalos en todo buzón que no los necesite por motivos operativos heredados.
3. Impedir el reenvío automático externo: Los atacantes configuran reglas ocultas para reenviar copias de todos los correos a cuentas externas (Gmail, Outlook.com). En Exchange Online se bloquea por política el reenvío automático hacia dominios externos.
4. Alertas de actividad anómala: Activa notificaciones ante eventos críticos: sesiones desde ubicaciones inusuales o imposibles en la misma franja horaria (viaje imposible), permisos de buzón no autorizados o picos de borrado de elementos.
5. Privilegios administrativos mínimos: Restringe los roles de administración con RBAC y acceso just-in-time (PIM), de modo que ningún usuario mantenga permisos permanentes sobre el tenant.

Integrar estas políticas en un plan de seguridad en Microsoft 365 mantiene la configuración firme frente a modificaciones accidentales.

5. Cumplimiento legal y RGPD en las comunicaciones por correo

En España, el correo corporativo está sujeto al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

El correo traslada a diario presupuestos, nóminas, contratos y datos de clientes. Para cumplir las directrices de la Agencia Española de Protección de Datos (AEPD), la empresa debe asegurar:

• Ubicación y garantías: Microsoft permite elegir la región de almacenamiento de datos en reposo (centros dentro de la Unión Europea). Es obligatorio firmar y conservar el anexo de tratamiento de datos (DPA) que Microsoft facilita a sus clientes.
• Cifrado: Office 365 aplica TLS entre servidores siempre que el receptor lo soporte y BitLocker en sus discos. Para datos especialmente sensibles (salud, infracciones, financieros), conviene activar directivas de cifrado de mensajes (OME) que impidan descarga o reenvío sin autenticación previa.
• Cláusulas informativas: todo correo saliente debe llevar un pie de firma legal con el responsable del tratamiento, la finalidad de los datos de contacto y la vía para ejercer los derechos de acceso, rectificación, supresión y oposición.

El incumplimiento de estas medidas o la negligencia ante una brecha que exponga datos personales puede acarrear sanciones de la AEPD, además del daño reputacional.

6. Mantenimiento y auditoría continua del entorno de correo

La seguridad de Office 365 correo no termina con la configuración inicial: es un proceso continuo. Las amenazas evolucionan, los empleados entran y salen y las actualizaciones de Microsoft cambian parámetros y comportamientos.

Un protocolo de mantenimiento preventivo para pymes debe contemplar:

• Microsoft Secure Score: la herramienta integrada en el centro de seguridad puntúa la postura del tenant y ofrece recomendaciones priorizadas.
• Ciclo de vida del usuario: bajas y despidos exigen revocación inmediata de sesiones, cambio de contraseña, bloqueo de acceso y reasignación o conversión del buzón a compartido para no perder información.
• Buzones compartidos: genéricos como info@ o administracion@ suelen quedar desatendidos; no deben tener acceso interactivo directo sin control individualizado de quién se conecta.
• Informes DMARC: revisar periódicamente qué correos legítimos bloquean los filtros y qué dominios externos intentan enviar en nombre de la empresa.

Delegar esta operativa en un servicio de monitorización y respuesta a incidentes permite concentrarte en tu actividad, con la certeza de que tu canal de comunicación no será el punto de fallo del negocio.