El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Solicita una demo
Empieza gratis
Inicio
Perspectivas de ciberseguridad
Una guía práctica sobre la defensa contra el phishing en Microsoft 365

Una guía práctica sobre la defensa contra el phishing en Microsoft 365

Una guía práctica sobre la defensa contra el phishing en Microsoft 365

Publicado: 24/04/2026

Escrito por: Nadine Rozell

El phishing sigue siendo la forma más rápida y barata para que los atacantes te arruinen el día. No importa qué tan grande o pequeña sea tu organización: si tienes un buzón de Microsoft 365, eres un objetivo.

Pero aquí está la buena noticia: no necesitas comprar una costosa licencia E5 para proteger tu entorno. Esta guía es tu manual para el endurecimiento de la seguridad de Microsoft 365 contra el robo de credenciales, el compromiso de correo empresarial (BEC) y esos correos maliciosos cargados de malware. Repasaremos una estrategia de defensa en profundidad que realmente funciona: configuraciones paso a paso, consejos prácticos de autenticación y opciones para sumar protección de terceros.

Cómo entender las amenazas de phishing en Microsoft 365

Phishing es el ciberataque en el que los adversarios se hacen pasar por fuentes de confianza en correos, mensajes o llamadas. Aunque el correo electrónico sigue siendo su arma favorita, no te descuides con los SMS (smishing) ni con la voz (vishing). Ni siquiera Microsoft Teams está a salvo de estas tácticas.

Esto es lo que probablemente enfrentarás en Microsoft 365:

  • Robo de credenciales vía phishing: robar nombres de usuario y contraseñas para tomar el control de cuentas.
  • Compromiso de correo electrónico empresarial (BEC): hacerse pasar por ejecutivos para engañar a contabilidad y que "transfiera fondos lo antes posible".
  • Clonación de mensajes (clone phishing): copiar un mensaje legítimo, pero cambiar el enlace o el archivo adjunto por uno malicioso.

Como estos ataques engañan a las personas y no al software, el error humano suele ser el culpable. Hemos visto demasiados casos que empiezan con un correo desesperado de un "CEO" que exige una transferencia bancaria. No dejes que tu organización sea el próximo caso de cliente.

Funciones integradas de Microsoft 365 contra el phishing

Microsoft 365 viene con una armadura bastante sólida de fábrica, pero tienes que ponértela bien.

Exchange Online Protection (EOP) te da cobertura básica antispam y anti-malware para los buzones en la nube. Microsoft Defender for Office 365 agrega protección avanzada (Safe Links, Safe Attachments y políticas anti-phishing) para detectar y bloquear phishing, malware y ataques zero-day en el correo electrónico y las cargas de trabajo de colaboración. Consulta la descripción del servicio Microsoft Defender for Office 365 y la descripción general de funciones.

También están Spoof Intelligence y las capacidades anti-phishing, que ayudan a detectar cuándo remitentes externos se hacen pasar por tu dominio o por socios de confianza, y cuándo los mensajes parecen intentos de suplantación dirigidos a usuarios o dominios específicos. Cuando ajustas bien estas protecciones (con los ajustes preestablecidos estándar/estricto de Microsoft o políticas personalizadas equivalentes), puedes ver una caída considerable en los ataques exitosos.

Nada mal para herramientas integradas, ¿verdad?

Cómo configurar Microsoft Defender for Office 365

Bien, entremos en detalle. Así puedes configurar tus ajustes para lograr el máximo impacto.

Nota: Funciones como Safe Links, Safe Attachments y las políticas avanzadas contra el phishing requieren Microsoft Defender for Office 365 Plan 1 o Plan 2, que puedes obtener incluido en ciertos SKU (como Microsoft 365 Business Premium o E5) o como complemento.

Políticas contra el phishing que debes habilitar

Estas políticas le indican a Microsoft 365 qué tan estricto debe ser al detectar algo sospechoso. Ve al portal de Microsoft 365 Defender, crea o edita tus políticas y aplícalas a todos los usuarios.

Esta es nuestra línea base recomendada (alineada con las guías de Microsoft y CISA):

Área de la políticaConfiguración recomendadaPor qué importa
Inteligencia contra la suplantación (spoof)Habilitar, bloquear suplantación de alta confianzaEvita que los impostores se hagan pasar por ti.
Suplantación de usuariosProteger a ejecutivos, finanzas, TI; acción \= CuarentenaDetecta intentos de BEC que imitan a tus VIP.
Suplantación de dominioAgregar tus dominios y socios de alta confianzaMarca dominios similares usados en fraudes.
Inteligencia de buzónHabilitar; consejos de seguridad activadosAprende los patrones de los remitentes para detectar anomalías.
UmbralComenzar en el nivel 2–3Detecta más intentos de phishing sin generar demasiados falsos positivos.
AccionesPoner en cuarentena el phishing de alta confianzaMantiene lo malo fuera de las bandejas de entrada.
Informe de usuariosHabilitar “Informe de phishing”Permite que tus usuarios ayuden en la lucha.

Configuraciones de suplantación y spoof como estas se recomiendan explícitamente en la documentación de Microsoft contra el phishing y en la línea base de Microsoft 365 Defender de CISA.

Configuración de Safe Links y Safe Attachments

Piensa en ellas como tu escuadrón antibombas. Safe Links analiza las URL para bloquear sitios maliciosos, y Safe Attachments detona los archivos en un sandbox antes de que lleguen al usuario.

Pasos rápidos de configuración:

  • Safe Attachments: Selecciona Dynamic Delivery para que los correos lleguen rápido mientras se analizan los archivos adjuntos (en escenarios compatibles de Exchange Online), y configura la acción para bloquear o poner en cuarentena el contenido malicioso.
  • Safe Links: Habilita la protección en el momento del clic y aplícala a correo, Teams y las aplicaciones de Office para que los enlaces se evalúen cuando los usuarios hacen clic en ellos, no solo al momento de la entrega.

Inteligencia contra la suplantación y el spoofing

Para detener esas estafas de fraude por transferencia tipo "CEO a CFO", debes indicarle a Defender quiénes son tus VIP. Agrega a tus ejecutivos y departamentos clave (Finanzas, RR. HH., TI) a la lista de usuarios protegidos y configura la suplantación de dominio para tus propios dominios y socios críticos. Pon en cuarentena los intentos de suplantación de alta confianza para que un administrador pueda revisarlos antes de que se produzca algún daño.

Cómo mejorar la defensa contra el phishing sin licencia E5

No necesitas una licencia E5 sofisticada para mantenerte protegido. Si tienes un plan Business o E3, igual puedes construir una fortaleza.

Esto es lo que puedes hacer sin E5:

  • Apégate a lo básico: Usa el filtrado core de EOP y una autenticación sólida como una roca (SPF/DKIM/DMARC), disponible en todas las suscripciones de Microsoft 365 con buzones en la cloud.
  • Elige a la carta:
    • Microsoft 365 Business Premium ya incluye Defender for Office 365 Plan 1, que te da Safe Links, Safe Attachments y funciones anti-phishing.
    • En planes como Office 365 E3 / Microsoft 365 E3, puedes agregar Defender for Office 365 Plan 1 o Plan 2 solo donde lo necesites.
  • Agrega capas: Incorpora seguridad de terceros adyacente al correo mediante integración por API. Muchos proveedores ofrecen modelos de "MX sin cambios" que son muy fáciles de implementar y no requieren redirigir el flujo de correo; este patrón también está reconocido en las guías modernas de seguridad de correo en la cloud.

Para más detalles sobre qué funciones de seguridad están en cada plan, consulta la descripción del servicio de Defender for Office 365 de Microsoft y el resumen "Why do I need Microsoft Defender for Office 365?".

Combinar Microsoft 365 con detección de amenazas avanzada

A veces, la seguridad nativa necesita un refuerzo. Las guías gubernamentales y empresariales (como las líneas base SCuBA de CISA) suponen explícitamente que vas a habilitar protecciones sólidas de Defender for Office 365 o que vas a combinar Microsoft 365 con una herramienta de seguridad dedicada equivalente. En lugar de depender de un solo control que sea perfecto, obtienes una cobertura superpuesta que puede reducir de forma significativa las probabilidades de que un phishing o un BEC tengan éxito.

¿Por qué sumar una capa de seguridad de terceros?

  • Mejor detección: la IA y el NLP pueden detectar indicios sutiles de BEC, solicitudes de pago inusuales o cambios de redacción que los filtros nativos pasan por alto.
  • Visibilidad centralizada: ve las amenazas en identidades, endpoints y buzones de correo en un solo lugar, en lugar de saltar entre consolas, de acuerdo con la forma en que los defensores modernos piensan los ataques centrados en la identidad.
  • Remediación más rápida: la retirada automática de mensajes maliciosos y los flujos de respuesta guiados te salvan cuando cada segundo cuenta. Defender for Office 365 Plan 2 suma investigación y respuesta automatizadas; muchas herramientas de terceros (incluidas las ofertas de MDR/ITDR) también se enfocan en una respuesta rápida, no solo en la detección.

Cómo elegir el socio de detección avanzada adecuado

Aquí tienes opciones. Puedes optar por Secure Email Gateways (SEG), herramientas de Integrated Cloud Email Security (ICES) basadas en API, u ofertas completas de Managed Detection and Response (MDR) que vigilan tu entorno las 24 horas. Para las organizaciones que buscan una cobertura de espectro completo, el MDR suele ser la ruta más práctica.

Proveedores como Huntress combinan Detección y respuesta para endpoints administrada con detección de amenazas de identidad administrada para Microsoft 365, con cobertura de comportamientos sospechosos de correo como la toma de control de una cuenta, reglas maliciosas de bandeja de entrada y apps de OAuth fraudulentas, respaldada por un SOC de analistas humanos disponible las 24 horas, los 7 días de la semana que investiga y remedia en tu nombre. Mira:

Porque, a veces, necesitas a un humano para atrapar a un hacker humano.

Mejores prácticas para la capacitación y simulación de empleados

Puedes tener los mejores firewalls del mundo, pero si Dave de Contabilidad hace clic en un enlace malicioso, estás en problemas. La security awareness training no es un evento de "una sola vez": es un estilo de vida.

Cómo hacerlo bien (alineado con las guías de simulación de ataques de Microsoft y los programas modernos de SAT):

  • Simula con frecuencia: Ejecuta simulaciones de phishing cortas y frecuentes con señuelos rotativos.
  • Orienta, no avergüences: Da coaching específico a los usuarios que hacen clic.
  • Premia los aciertos: Celebra cuando alguien reporta un correo sospechoso.
  • Mide el progreso: Rastrea las tasas de clics y ajusta tu capacitación cada trimestre.

Protocolos esenciales de autenticación de correo: SPF, DKIM y DMARC

Esta es la santísima trinidad de la seguridad del correo. Si no usas esto, básicamente dejas tu puerta principal sin seguro.

  • SPF (Sender Policy Framework): Una lista de quién está autorizado a enviar correo en tu nombre.
  • DKIM (DomainKeys Identified Mail): Una firma digital que demuestra que nadie manipuló tu correo en tránsito.
  • DMARC: El protocolo jefe que les dice a los receptores qué hacer si SPF o DKIM fallan.

La secuencia de configuración (nivel general):

1. Publica SPF: Agrega tu registro TXT.

2. Habilita DKIM: Activa la firma en el centro de administración de Exchange.

3. Publica DMARC: Empieza con `p=none` para monitorear, luego pasa a `p=quarantine` y finalmente a `p=reject`.

(Los detalles de implementación dependerán de tu proveedor de DNS; la documentación de Microsoft sobre flujo de correo y autenticación explica los pasos específicos por inquilino.)

Monitoreo, investigación y respuesta a incidentes

Cuando —no si— algo se filtra, necesitas un plan. No entres en pánico. Sigue el flujo de trabajo.

Un flujo de trabajo de respuesta simple, coherente con la forma en que tanto Microsoft como CISA abordan la respuesta ante el compromiso de cuentas y el phishing:

1. Aísla: bloquea el inicio de sesión de la cuenta afectada. Sácala de la red si es necesario.

2. Restablece: cambia las credenciales y termina las sesiones activas (incluidas las sesiones de OAuth si sospechas de las aplicaciones fraudulentas).

3. Investiga: busca movimiento lateral o reglas sospechosas en el buzón (como el reenvío de todos los correos a un Gmail externo), inicios de sesión inusuales o aplicaciones sospechosas.

4. Elimina: borra el correo malicioso de todo el inquilino usando Defender for Office 365 o una herramienta equivalente.

5. Restaura: vuelve a conectar al usuario y documenta lo sucedido para poder ajustar las políticas y la capacitación.

Implementar autenticación multifactor resistente al phishing

La MFA no es negociable, amigos. ¿Pero los códigos por SMS? Son débiles. Los atacantes pueden evadirlos con intercambio de SIM o ingeniería social simple.

Eleva el nivel de tu MFA con enfoques recomendados en las guías de protección de identidad de Microsoft y las plataformas modernas de ITDR:

  • Abandona el SMS: Pásate a las notificaciones basadas en apps con coincidencia de números.
  • Usa hardware: Implementa llaves de seguridad FIDO2 para roles de alto riesgo (administradores, finanzas).
  • Aplícalo en todas partes: Sin excepciones. Todos tienen MFA.

Estrategias rentables y retorno de inversión

La prevención siempre es más barata que una brecha de seguridad. Un incidente grave puede costar fácilmente más que todo tu presupuesto anual de seguridad; por ejemplo, el FBI estima que las pérdidas globales por BEC alcanzan decenas de miles de millones de dólares, y la propia investigación e informes técnicos de Huntress sobre BEC citan más de $50 mil millones en pérdidas. Al ajustar tus políticas de Microsoft 365, añadir MFA sólido y sumar detección de terceros donde tenga sentido, puedes reducir drásticamente el riesgo sin disparar el presupuesto.

Verificación simple de retorno de inversión:

  • Ajustar políticas: costo bajo, impacto medio/alto (especialmente si habilitas los ajustes estándar/estrictos de Microsoft o configuraciones equivalentes).
  • SPF/DKIM/DMARC: costo bajo, impacto alto contra la suplantación y el abuso de dominios.
  • MFA resistente al phishing: costo bajo/medio, impacto muy alto en escenarios de compromiso de identidad y correo electrónico.

Cuándo gestionar la defensa de forma interna frente a subcontratarla

¿Puedes encargarte de esto las 24 horas del día, los 7 días de la semana? Si cuentas con un equipo de seguridad completo con tiempo de sobra, tal vez. Pero para la mayoría, subcontratar a un socio MSP o proveedor de MDR es la jugada más inteligente.

Un proveedor de MDR o ITDR te da un equipo de expertos que monitorea tu entorno sin parar. Cazan amenazas, investigan alertas y responden mientras duermes. Al evaluar a un socio, hazle las preguntas difíciles:

  • ¿Cómo detienen el BEC sin payloads?
  • ¿Cuál es su tiempo de remediación?
  • ¿Se integran directamente con Microsoft 365?

Mantente alerta, refuerza tus defensas en capas y no les facilites las cosas a los atacantes.

Preguntas frecuentes

¡Agrega capas! Combina protecciones nativas ajustadas (EOP + Defender for Office 365), detección avanzada, MFA resistente a phishing y capacitación regular para los empleados.

Es una excelente base. Microsoft 365 Business Premium ya incluye Defender for Office 365 Plan 1; agrega capacidades adicionales de Defender for Office 365 o un servicio de detección administrada (MDR/ITDR) para cubrir los vacíos, especialmente en el caso de BEC y la toma de control de una cuenta.

Revisan las URL en el momento en que haces clic en ellas. Si el sitio es malicioso, se te bloquea el acceso, incluso si el correo parecía seguro cuando llegó. Consulta la explicación de Safe Links para más detalles.

Actúa rápido. Aísla la cuenta, restablece las contraseñas, revisa si hay reglas de reenvío y elimina el correo del inquilino con Defender for Office 365 u otras herramientas equivalentes. Luego, enséñale a esa persona qué debe detectar la próxima vez y considera reforzar las políticas o el MFA para ese grupo de usuarios.

Mira cómo funcionan las simulaciones de phishing de Huntress

Las simulaciones de phishing les dan a los empleados una forma segura de practicar cómo reconocer y reportar amenazas antes de que un atacante real los tenga en la mira.

Mira el video para ver cómo Huntress convierte el comportamiento real de phishing en simulaciones realistas, asesoría oportuna e información útil para los equipos de seguridad. Luego, explora Huntress Managed SAT para descubrir cómo el programa ayuda a construir una fuerza laboral más resiliente.

Ver el videoExplorar Huntress Managed SAT