- Microsoft Entra ID centraliza identidad, acceso condicional y protección frente a riesgos en Microsoft 365 y Azure.
- Las cuentas de servicio olvidadas, con contraseñas por defecto y sin MFA, aparecen en campañas de pulverización como la de TeamFiltration.
- El acceso condicional, la MFA resistente al phishing y la evaluación continua de sesiones reducen el margen de los atacantes.
- Entra Suite amplía Zero Trust con Private Access, Internet Access, Governance y Verified ID, con licencias que parten de Entra ID P1.
Microsoft Entra ID se ha convertido en una pieza central para muchas organizaciones que usan Microsoft 365, Azure y servicios asociados. La identidad no es solo una puerta de entrada: es el punto donde se concentran accesos, permisos, dispositivos y políticas. En España y en el resto de Europa, los equipos de TI y seguridad revisan cada vez más cómo se gestionan las cuentas, porque un descuido en este plano puede afectar a correo, archivos, aplicaciones y datos corporativos.
La plataforma ha evolucionado desde el antiguo Azure Active Directory hacia un modelo que abarca inicio de sesión único, autenticación multifactor, acceso condicional y protección frente a riesgos. Los incidentes recientes muestran que los atacantes no siempre necesitan vulnerabilidades sofisticadas. A veces basta con credenciales válidas, cuentas olvidadas o configuraciones heredadas para moverse por la nube con apariencia legítima.
Ataques de contraseña y cuentas de servicio: el riesgo que no caduca
Un análisis de Proofpoint sobre una campaña con TeamFiltration situó el foco en más de 5.700 cuentas de 28 inquilinos de Microsoft 365. El caso terminó con siete cuentas de servicio comprometidas en un minorista chileno, aunque la lección es global: las identidades funcionales que nadie supervisa siguen siendo un blanco rentable.
La actividad se repartió en varias oleadas entre finales de julio y agosto de 2026, con pruebas de contraseñas masivas contra entidades financieras y comerciales. Los investigadores relacionaron los accesos exitosos con contraseñas predeterminadas o nunca cambiadas y con la ausencia de MFA. Ese patrón encaja con una realidad más amplia: Microsoft ha señalado que el 97% de los ataques contra identidades son de pulverización de contraseñas y que la MFA resistente al phishing frena más del 99% de esa categoría.
TeamFiltration es una herramienta de pruebas de penetración de código abierto que puede enumerar cuentas de Microsoft Entra ID, probar credenciales y facilitar acceso interactivo a servicios como OneDrive. Tras los inicios de sesión, los atacantes pasaron a servicios como Office, Teams, SharePoint Online y Microsoft Graph. En algunos casos, el cambio a nodos VPN alemanes y el sondeo de endpoints corporativos complicaron la trazabilidad.
Los registros de autenticación, por sí solos, no siempre demuestran si se extrajeron archivos, pero sí permiten detectar ráfagas de fallos, éxitos rápidos en varias cuentas y solicitudes de tokens posteriores a un nuevo inicio de sesión. Para los equipos de seguridad, la clave está en tratar una contraseña por defecto como un indicador de incidente, no como una simple tarea pendiente. Proofpoint ya había descrito antes un clúster denominado UNK_SneakyStrike, que usó TeamFiltration contra más de 80.000 cuentas en cientos de inquilinos, lo que refuerza la idea de que una herramienta ofensiva accesible puede sostener campañas de pulverización a gran escala.
Qué papel juega el acceso condicional en Entra ID
El acceso condicional funciona como una capa de reglas que evalúa señales antes de conceder acceso. Puede tener en cuenta el usuario, el grupo, el estado del dispositivo, la ubicación, el riesgo de inicio de sesión o la sensibilidad de la aplicación. En lugar de confiar solo en la contraseña, la organización decide bajo qué condiciones se permite cada sesión.
Microsoft ha explicado que, en un flujo de inicio de sesión único, la política se aplica después de verificar las credenciales y antes de emitir tokens. Ese punto intermedio convierte el acceso condicional en el lugar natural para exigir MFA resistente al phishing, como las passkeys FIDO2. También permite bloquear accesos desde redes no conformes o desde ubicaciones inesperadas.
Entra ID admite cinco enfoques de inicio de sesión único: OpenID Connect y OAuth 2.0, SAML 2.0, basado en contraseña, basado en cabeceras y enlazado. Los protocolos de federación son preferibles cuando la aplicación los soporta, mientras que el resto requiere inventario, diseño de políticas y tratamiento de aplicaciones que no pueden federar.
La evaluación continua de acceso añade otra capa: si una sesión se vuelve sospechosa después de autenticarse, el token puede revocarse y obligar al usuario a volver a identificarse. Esto es relevante frente al robo de tokens y al compromiso de correo empresarial, dos vectores que no siempre se detectan con una simple alerta de contraseña incorrecta.
Entra ID Protection alimenta estas políticas con señales de riesgo de usuario y de inicio de sesión. Un riesgo alto puede forzar el restablecimiento de contraseña y MFA; un riesgo medio puede pedir un desafío adicional; y un riesgo alto de inicio de sesión puede bloquear el acceso. La idea es que una credencial robada no baste para completar una nueva verificación.
Entra Suite, Zero Trust y control de red
Microsoft Entra Suite agrupa varias capacidades bajo una misma arquitectura de confianza cero. La suite se comercializa desde 12 dólares por usuario y mes, según las referencias públicas, y requiere una licencia Entra ID P1 como base. Incluye productos como Entra ID Governance, Entra ID Protection, Entra Private Access, Entra Internet Access y Entra Verified ID.
Microsoft vende Entra ID P1 desde 6 dólares por usuario y mes y P2 desde 9, mientras que la suite completa se sitúa en 12 y requiere P1. También forma parte del paquete Microsoft 365 E7, con un precio de referencia de 99 dólares por usuario y mes. Los productos por separado podrían sumar entre 17 y 23 dólares, según la comparativa de licencias, lo que ayuda a valorar si la consolidación compensa frente a herramientas de terceros.
Entra Private Access sustituye al VPN tradicional por un acceso de red de confianza cero, aplicando políticas de identidad y MFA a recursos internos. Entra Internet Access actúa como puerta de enlace web segura centrada en identidad para tráfico saliente y aplicaciones SaaS, lo que permite controlar el uso de herramientas no aprobadas y auditar actividad.
Ambas forman parte de Global Secure Access, la propuesta de borde de servicio de seguridad de Microsoft. El perfil de tráfico de Microsoft 365 viene incluido con Entra ID P1 o P2 y añade restricciones de inquilino, comprobaciones de red conforme y mejores registros. El perfil de Internet Access, con filtrado por categorías, inspección TLS y controles de IA, se vende aparte, se ha referenciado en 5 dólares por usuario y mes y tiene limitaciones documentadas.
En el ámbito de gobierno, Entra ID Governance responde a quién tiene acceso, si debería seguir teniéndolo y cómo automatizar el ciclo. Los paquetes de acceso, las revisiones periódicas, la gestión de identidades privilegiadas y los flujos de incorporación o baja reducen tareas manuales y permisos sobrantes. Entra Verified ID aporta credenciales verificables y validación biométrica de presencia para casos de alta garantía. La gobernanza de agentes de IA aparece con Entra Agent ID, un marco para registrar agentes, aplicar mínimo privilegio y auditar flujos OAuth. Para las empresas españolas y europeas, este enfoque encaja con la necesidad de justificar controles ante auditorías y revisiones de cumplimiento.
Cuentas de servicio, MFA y buenas prácticas para Europa
Las cuentas de servicio suelen sostener scripts, aplicaciones, trabajos programados e integraciones. El problema aparece cuando el proyecto original desaparece, pero la cuenta sigue activa, con contraseña antigua y sin un responsable claro. Proofpoint recomienda inventariarlas, asignarles una finalidad empresarial y fijar una fecha de expiración.
Cuando la plataforma lo permita, conviene sustituir las cuentas basadas en contraseña por identidades administradas, identidades de carga de trabajo o autenticación con certificados. Para las cuentas que aún necesiten inicio de sesión interactivo, hay que exigir MFA o acceso condicional y alertar sobre accesos desde países desconocidos, VPN o infraestructura cloud.
La revisión de registros de Entra ID debería buscar ráfagas de autenticaciones fallidas, éxitos rápidos en varias cuentas y solicitudes de tokens posteriores a un inicio de sesión nuevo. No se trata solo de bloquear: también de detectar patrones que indiquen que una credencial válida está siendo utilizada por alguien que no debería tenerla.
En el contexto europeo, la combinación de Microsoft 365, Azure y Entra ID hace que estas medidas afecten a organizaciones de muy distintos tamaños. La prioridad razonable es empezar por las cuentas más privilegiadas, las de servicio y aquellas que permiten acceso a correo, archivos o datos de directorio. Después se puede ampliar el modelo a aplicaciones y redes.
La identidad se ha convertido en el terreno donde se libran buena parte de los ataques modernos. Entra ID ofrece herramientas para reducir ese riesgo, pero no sustituye una gestión ordenada de cuentas, permisos y políticas. La experiencia de campañas como TeamFiltration y las recomendaciones de Microsoft apuntan en la misma dirección: menos credenciales olvidadas, más MFA resistente al phishing y una revisión continua de quién puede entrar y desde dónde.