¿Por qué Microsoft 365 se convirtió en el blanco principal?
Microsoft 365 dejó de ser solo correos y cosas de oficina. Hoy concentra la identidad de los usuarios, el acceso a archivos, las comunicaciones internas y gran parte de los datos importantes de una organización. Esta centralización es justamente lo que lo vuelve tan atractivo para los atacantes ya que con solo una sola cuenta, puedo entrar a todo lo demás.
A esto se suma un cambio de estrategia por parte de los ciberdelincuentes. En vez de intentar vulnerar dispositivos o instalar software malicioso (algo que ya comúnmente conocemos y que los softwares están entrenados para detectar), ahora aprovechan configuraciones débiles, permisos mal asignados y políticas de acceso incompletas. El resultado es que el ataque ocurre "por dentro", usando funciones legítimas de la plataforma, y por eso rara vez activa una alerta.
Los 4 tipos de ataques a Microsoft 365 más comunes hoy
1. Contraseñas probadas a gran escala
En lugar de intentar adivinar una contraseña específica, los atacantes prueban contraseñas comunes en muchas cuentas distintas, evitando así los bloqueos por intentos fallidos. Basta con que una sola cuenta no tenga verificación en dos pasos para que consigan entrar como si fuera un usuario verdadero.
2. Aplicaciones externas con permisos indebidos
Un colaborador acepta (muchas veces sin darse cuenta) una aplicación externa que pide acceso a su correo o archivos. Desde ese momento, el atacante ya no necesita ni contraseña ni inicio de sesión, tiene acceso directo a través de esa aplicación, de forma silenciosa y persistente.
3. Robo de sesión tras un inicio de sesión legítimo
Incluso cuando un usuario completa correctamente la verificación en dos pasos, existen técnicas de phishing diseñadas para capturar la sesión ya autenticada. El resultado es contradictorio, la verificación en dos pasos "funcionó", y aun así el atacante logró entrar.
4. Acumulación de permisos excesivos
Cuando una organización no revisa periódicamente quién tiene privilegios de administrador, es común que existan más cuentas con acceso total del que realmente se necesita. Si una sola de esas cuentas se ve comprometida, el atacante puede terminar controlando todo el entorno, no solo una parte.
Un patrón que se repite en todos los casos
Detrás de estos cuatro escenarios hay una misma lógica, los atacantes no necesitan forzar la entrada si pueden aprovechar una configuración débil. La entrada depende de qué tan protegida esté la identidad de cada usuario; la permanencia del atacante dentro del sistema depende de qué tan bien configuradas estén las políticas; y el alcance del daño depende de qué tan controlados estén los permisos en toda la organización, no solo en una cuenta aislada.
Ninguno de estos ataques a Microsoft 365 depende de tecnología tan avanzada. Dependen de cosas que ya existen y simplemente nadie ha revisado.
¿Qué puedo hacer al respecto?
La buena noticia es que esto puede ser prevenido, y solo requiere acciones concretas:
1. Activar la verificación en dos pasos para todos los usuarios, sin excepciones.
2. Deshabilitar los métodos de autenticación antiguos que no la soportan.
3. Revisar periódicamente qué aplicaciones externas tienen acceso al correo o los archivos de la empresa, y retirar las que no se usan o no se reconocen.
4. Auditar quién tiene privilegios de administrador y reducirlos al mínimo necesario.
5. Establecer un proceso claro de baja de accesos cuando alguien deja la empresa (revocar sesiones, permisos y licencias).
El problema es que hacer esto manualmente, y de forma sostenida en el tiempo, es difícil: las configuraciones se desvían apenas alguien cambia algo, y sin una revisión constante, esas brechas se acumulan sin que nadie lo note.
Para eso existe Acronis Security Posture Management (SPM), una solución que revisa de forma continua la configuración de seguridad de Microsoft 365, identifica desviaciones frente a buenas prácticas y permite corregirlas de forma automática, en lugar de depender de una revisión manual ocasional.
Resumen: lo que necesitas recordar
- Los ataques a Microsoft 365 no dependen de malware, sino de identidades y configuraciones débiles.
- Cuatro formas comunes en las que entran sin ser detectados: contraseñas probadas a gran escala, apps externas con permisos indebidos, robo de sesión pese a la verificación en dos pasos, y acumulación de privilegios excesivos.
- El patrón se repite siempre: la entrada depende de la identidad, la permanencia depende de la configuración, y el daño depende de los permisos.
- Nada de esto necesita tecnología avanzada, solo revisión constante.
- Acronis SPM revisa esto de forma continua y corrige las desviaciones automáticamente, en toda la organización.
Actualmente, los ataques contra Microsoft 365 no tienen éxito porque sean muy avanzados, sino porque nadie está revisando la exposición que tiene la empresa, nadie está corrigiendo las configuraciones de forma consistente, ni aplicando los controles de manera continua. Solucionar esto no depende de comprar más herramientas, sino de mantener una revisión constante de la identidad, los permisos y las políticas de acceso.
¿Quieres saber cómo está la seguridad de tu Microsoft 365?
En ACDATA somos partner de Acronis y integramos tecnología para empresas chilenas desde 1999. Escríbenos a info@acdata.cl y evaluamos juntos cómo está la seguridad de tu empresa en este momento.
Fuente: Información adaptada del informe "Microsoft 365 bajo ataque: amenazas contra la identidad y el plano de control", publicado por Acronis (2026).