En este artículo
Los filtros que vienen activados en Microsoft 365 bloquean spam, malware conocido y enlaces ya catalogados como peligrosos. No bloquean un mensaje legítimo, enviado desde una cuenta real, que pide pagar una factura a un IBAN nuevo. Cerrar esa puerta es trabajo de configuración y de normas internas: el núcleo de la ciberseguridad gestionada que DataRoad aplica a los tenants de sus clientes.
El problema en cifras
- 3.864 incidentes Registrados por el CERT.PT en 2025, un 40% más que el año anterior, según datos del Centro Nacional de Ciberseguridad portugués (CNCS) publicados en 2026.
- 18% La parte de los incidentes de ingeniería social notificados que correspondió al fraude del «falso CEO» y de la factura alterada.
- Tres patrones Factura con IBAN modificado, página falsa de inicio de sesión de Microsoft 365 y adjunto o código QR malicioso.
- Cuatro medidas Autenticación multifactor, bloqueo de reenvíos externos, SPF/DKIM/DMARC y confirmación telefónica de datos bancarios resuelven la mayor parte del riesgo.
Por qué no basta la protección de serie
El filtro de Microsoft 365 compara cada mensaje con lo que ya se sabe que es malicioso. Un virus catalogado queda retenido; un servidor de spam conocido ni siquiera entrega el mensaje.
Lo que ningún filtro evalúa es la intención. Un mensaje desde la cuenta auténtica de un proveedor anunciando «hemos cambiado de banco» no lleva adjunto infectado ni enlace sospechoso, y viene de quien dice venir. Supera todas las pruebas técnicas.
Fraude 1 — el IBAN que cambia a mitad de conversación
El atacante compromete el buzón de un proveedor (o de la propia empresa), lee las conversaciones durante semanas y espera a una factura elevada. Después responde en el mismo hilo: «a partir de este mes, pagar al nuevo IBAN adjunto». Una variante habitual usa un dominio con una letra cambiada, que nadie advierte con las prisas.
La defensa es una norma escrita, no un producto: los datos bancarios nunca se cambian por correo. La confirmación se hace por teléfono, al número que ya figuraba en la ficha del proveedor. El procedimiento completo está en la guía sobre facturas alteradas y fraude por correo.
Fraude 2 — la pantalla de inicio de sesión que no es de Microsoft
El mensaje anuncia «un documento compartido con usted» o «buzón lleno». El enlace abre una copia perfecta de la pantalla de inicio de sesión de Microsoft 365. El empleado escribe su correo y su contraseña y el atacante se queda con la cuenta.
Después llega una regla discreta en el buzón: los mensajes con «factura» o «pago» se reenvían al exterior o se esconden en una carpeta olvidada. De aquí nace el fraude 1, esta vez desde su propia empresa.
Dicho de forma sencilla: la autenticación multifactor es un segundo candado. Con la contraseña robada, el atacante sigue necesitando el móvil del empleado. Es la medida que, por sí sola, más reduce el robo de cuentas.
Fraude 3 — el código QR dentro del PDF
Como los filtros analizan cada vez mejor los enlaces, los atacantes han cambiado de formato: un PDF con un código QR «para firmar», una imagen en lugar de texto, un adjunto protegido con contraseña que el filtro no puede abrir.
El código QR empuja al usuario a su móvil personal, fuera de las protecciones de la empresa. Lo que se abre es casi siempre una nueva versión del fraude 2.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
Las configuraciones que frenan los tres fraudes
Nada de esto exige comprar una marca concreta. Son ajustes de Microsoft 365 y normas internas.
| Medida | Fraudes que frena | Efecto práctico |
|---|---|---|
| MFA en todas las cuentas | 2 y 3 | La contraseña robada ya no basta para entrar. |
| Reenvío externo bloqueado | 1 y 2 | Una cuenta comprometida no envía su correo al exterior en silencio. |
| SPF, DKIM y DMARC en el dominio | 1 | Quien recibe un correo falso «de su empresa» puede identificarlo y rechazarlo. |
| Confirmación telefónica de datos bancarios | 1 | Ningún IBAN cambia por correo. |
| Formación breve y periódica | 1, 2 y 3 | El equipo reconoce el patrón: urgencia, secreto, enlace «para confirmar». |
Reenvío automático: decidir en lugar de dejarlo al sistema
La directiva que controla el reenvío a direcciones externas viene, por defecto, en modo «automático, controlado por el sistema». Microsoft recomienda definir explícitamente si queda activado o desactivado, porque el comportamiento puede variar entre organizaciones. En la mayoría de las pymes, la respuesta correcta es desactivado, con excepciones aprobadas una a una.
SPF, DKIM y DMARC sin jerga
Son tres registros en el dominio que demuestran que un correo de la empresa es realmente de la empresa. El SPF enumera quién puede enviar en su nombre. El DKIM es un sello que muestra que el mensaje no se ha alterado por el camino. El DMARC indica a quien recibe qué hacer cuando algo falla —rechazar, poner en cuarentena o solo avisar— y devuelve informes sobre quién usa su nombre.
Microsoft advierte que aplicar solo una parte de estos métodos deja la protección incompleta. El trabajo se hace por fases: inventariar todos los servicios que envían correo en nombre de la empresa (facturación, newsletter, CRM) y solo después endurecer la política. Un DMARC hecho deprisa puede bloquear sus propias facturas.
Todo se apoya en la autenticación multifactor en todas las cuentas. Antes de comprar cualquier herramienta, confirme qué funciones de seguridad incluye ya su licencia de Microsoft 365.
Lección de un proyecto: seguridad definida en la migración
La União das Freguesias de Massamá e Monte Abraão eligió a DataRoad, por concurso público, para migrar unos 50 buzones a Exchange Online. El proyecto incluyó la transferencia íntegra de correos, estructura y datos, la reconfiguración de puestos de trabajo y móviles y la validación final.
Una migración es el momento ideal para dejar las normas de seguridad hechas desde cero. Configurar 50 buzones una vez, y bien, cuesta mucho menos que corregirlos uno a uno después de un incidente.
Lista de comprobación para esta semana
- MFA — confirmar que todas las cuentas, incluidas las compartidas y las de administración, la tienen activa.
- Reenvíos — pedir la lista de los activos; cualquier regla hacia el exterior que nadie sepa explicar es una alarma.
- DMARC — comprobar en qué modo está el de su dominio.
- Norma bancaria — redactar y difundir la confirmación por teléfono.
- Formación — programar una sesión para preparar a los equipos contra el phishing y los deepfakes.
Preguntas frecuentes
¿No incluye ya Microsoft 365 protección del correo?
Sí, y funciona bien contra el spam y el malware conocidos. No frena mensajes legítimos procedentes de cuentas comprometidas ni peticiones de pago convincentes. Esas brechas se cierran con configuración y normas internas.
¿Hay que comprar otra herramienta de seguridad del correo?
No siempre. En muchas pymes la mayor ganancia está en configurar bien lo que ya trae la licencia. Las herramientas adicionales tienen sentido después, según el riesgo y el sector.
¿Cómo sé si mi dominio tiene DMARC?
Pida a su socio de IT la lectura de los registros SPF, DKIM y DMARC. Si el DMARC no existe o está solo en observación, a cualquiera le resulta más fácil enviar correos que parecen venir de su empresa.
Un empleado ha escrito su contraseña en una página falsa. ¿Y ahora qué?
Cambie la contraseña de inmediato, cierre todas las sesiones activas, confirme que la MFA está activada y revise las reglas y reenvíos creados en los últimos días. Pida a contabilidad que suspenda los pagos con cambios recientes de IBAN.
Siguiente paso: diagnóstico del correo en 5 días laborables
Analizamos MFA, reenvíos, reglas de los buzones y SPF, DKIM y DMARC, y entregamos las correcciones ordenadas por prioridad, sin compromiso. La gestión continua forma parte del plan IT Unlimited Premium, del servicio de Microsoft 365 gestionado y de nuestra ciberseguridad gestionada para empresas.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico
Fuentes
- Renascença — CNCS: el fraude del «falso CEO» supuso el 18% de los incidentes de ingeniería social notificados al CERT.PT en 2025
- Lusa / DNoticias — CNCS: 3.864 incidentes registrados por el CERT.PT en 2025 (+40%)
- Microsoft Learn — Email authentication in Microsoft 365 (SPF, DKIM y DMARC)
- Microsoft Learn — Reenvío externo de correo en Microsoft 365
