- La gobernanza en Microsoft 365 muestra una brecha entre la confianza y la realidad de los incidentes.
- El phishing con IA se aprovecha de las malas configuraciones y del exceso de permisos.
- Los expertos recomiendan reforzar la autenticación con passkeys o FIDO2 y revisar los accesos.
La llegada de la inteligencia artificial a Microsoft 365 ha supuesto un salto en productividad, pero también ha destapado una realidad incómoda: muchas organizaciones confían más de la cuenta en la seguridad de sus plataformas. Estudios recientes señalan que la mayoría de los responsables de TI cree tener control total sobre sus entornos, mientras que en la práctica los incidentes por mala configuración siguen siendo habituales. Esta desconexión entre percepción y realidad se ha convertido en un quebradero de cabeza para los equipos de seguridad.
Paralelamente, los ciberdelincuentes han encontrado en la IA un aliado perfecto para perfeccionar sus ataques de phishing y comprometer cuentas corporativas. El auge de plataformas de fraude automatizadas que utilizan chatbots para personalizar engaños ha puesto en alerta a empresas de todo el mundo. La combinación de una gobernanza débil y nuevas amenazas obliga a repensar las estrategias de protección en Microsoft 365.
La confianza en la gobernanza choca con la realidad
Las organizaciones presumen de tener todo bajo control, pero los datos recopilados por análisis internos muestran que la mayoría ha sufrido al menos un incidente por permisos mal asignados o configuraciones erróneas. Solo una pequeña parte de las compañías reconoce tener una gobernanza optimizada, y la capacidad de generar informes de acceso completos sigue siendo un reto para muchas. Esta falta de visibilidad directa se convierte en un caldo de cultivo para ciberataques.
La gestión de permisos y el uso de la IA son dos puntos críticos. Se estima que un alto porcentaje de empresas ya utiliza herramientas de IA dentro de Microsoft 365, pero menos de la mitad ha revisado los permisos antes de activarlas. Esto significa que los asistentes virtuales pueden acceder a información confidencial sin un control adecuado, aumentando el riesgo de exposición de datos, similar a lo ocurrido con la vulnerabilidad de LFI en la exportación a PDF de Microsoft 365.
El auge del phishing con inteligencia artificial
Los ataques de phishing han dado un salto cualitativo al incorporar la inteligencia artificial para analizar conversaciones y generar mensajes personalizados. Las plataformas de phishing como servicio ofrecen incluso chatbots capaces de imitar el tono de la víctima y extraer información sensible. Este tipo de fraude se aprovecha de las mismas debilidades que señalan los informes de gobernanza: exceso de permisos, falta de monitorización y una falsa sensación de seguridad.
El método del código de dispositivo se ha convertido en un vector de ataque recurrente. Los ciberdelincuentes engañan a los empleados para que introduzcan códigos en páginas oficiales de Microsoft, mientras capturan los tokens de acceso. Aunque el usuario complete la autenticación multifactor, los atacantes consiguen acceso persistente a las cuentas. Esto demuestra que el MFA por sí solo ya no es una barrera infalible.
Recomendaciones para reforzar la seguridad en Microsoft 365
Los expertos en ciberseguridad coinciden en que se necesitan medidas más sólidas. Entre las acciones más efectivas destacan la implantación de métodos de autenticación resistentes al phishing, como passkeys o llaves FIDO2, y la revisión periódica de los permisos de acceso. También es fundamental deshabilitar el flujo de código de dispositivo en políticas de acceso condicional, salvo excepciones justificadas.
- Revisar y auditar los permisos de acceso de forma periódica.
- Deshabilitar el flujo de código de dispositivo en las políticas de acceso condicional.
- Utilizar métodos de autenticación fuertes como passkeys o FIDO2.
- Activar alertas y revisión constante de los registros de actividad.
- Formar a los equipos sobre los riesgos del phishing y la suplantación de identidad.
La combinación de una gobernanza deficiente y ataques cada vez más avanzados exige un enfoque proactivo. Las empresas que operan en Europa y España deben prestar especial atención a la protección de datos, cumpliendo con normativas como el RGPD. La recomendación es clara: no esperar a ser víctima de un ataque para reforzar la seguridad de Microsoft 365.
En definitiva, la inteligencia artificial ha llegado a Microsoft 365 para quedarse, pero su adopción debe ir acompañada de una revisión profunda de los controles de acceso y autenticación. La confianza sin verificación es el mayor riesgo para las organizaciones que dependen de esta plataforma.
