Seguridad del correo en Microsoft 365: más allá de SPF, DKIM y DMARC

Muchas empresas piensan que han resuelto la seguridad de su correo cuando configuran SPF, DKIM y DMARC. Esos tres protocolos son fundamentales —y siguen siendo ignorados por demasiadas organizaciones— pero en Microsoft 365, el ecosistema de correo más utilizado en entornos empresariales, hay una capa adicional de seguridad que marca la diferencia entre una protección básica y una protección real.

El punto de partida: SPF, DKIM y DMARC

Antes de entrar en configuraciones avanzadas, conviene confirmar que estos tres protocolos están correctamente implementados:

• SPF (Sender Policy Framework): lista los servidores autorizados a enviar correo en nombre de tu dominio. Evita que atacantes envíen correos suplantando tu dominio desde servidores no autorizados.
• DKIM (DomainKeys Identified Mail): firma digitalmente los correos salientes para que el destinatario pueda verificar que no han sido manipulados en tránsito.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): define qué hacer con los correos que no pasan SPF o DKIM, y envía informes sobre intentos de suplantación. Con política p=reject, los correos no autenticados se rechazan automáticamente.

Configura DMARC con política reject, no solo none o quarantine. Muchas empresas lo dejan en none (solo monitorización) durante meses y nunca llegan a activar la protección real.

Microsoft Defender for Office 365: qué incluye y qué configura

Microsoft 365 incluye diferentes niveles de protección de correo según el plan contratado. El plan básico (Exchange Online Protection, EOP) ofrece protección antispam y antimalware básica. Los planes Business Premium y superiores incluyen Microsoft Defender for Office 365 (anteriormente ATP), que añade capacidades significativamente más avanzadas.

Safe Links (Vínculos seguros)

Reescribe los enlaces en correos y documentos Office para que pasen por una verificación en tiempo real cuando el usuario hace clic, en lugar de en el momento de recepción. Esto permite detectar URLs que eran inocuas al llegar pero que posteriormente apuntaban a contenido malicioso.

Para activarlo: Centro de administración de Microsoft 365 → Seguridad → Directivas → Vínculos seguros. Aplícalo a todos los usuarios, incluyendo la reescritura de URLs en documentos Office.

Safe Attachments (Datos adjuntos seguros)

Ejecuta los adjuntos en un entorno sandbox antes de entregarlos al destinatario. Si el adjunto exhibe comportamiento malicioso en el sandbox, se bloquea. El proceso añade un pequeño retraso en la entrega (segundos a minutos), pero puede detectar malware de día cero que los antivirus convencionales no detectarían.

Anti-phishing avanzado

Microsoft 365 incluye configuraciones anti-phishing que van más allá del filtrado básico: protección contra la suplantación de usuarios específicos (como el CEO o el CFO), protección contra la suplantación de dominios similares al tuyo, y detección de inteligencia de buzón (aprende los patrones de comunicación habituales para detectar anomalías).

Configuraciones avanzadas que marcan la diferencia

Preset Security Policies (Directivas de seguridad preestablecidas)

Microsoft ofrece directivas preconfiguradas en dos niveles: Estándar y Estricto. En lugar de configurar manualmente decenas de parámetros, activar la directiva Estricta para todos los usuarios es un punto de partida sólido. Puedes después personalizar excepciones para casos específicos.

Attack Simulation Training

Incluido en algunos planes de Microsoft 365, permite lanzar simulaciones de phishing controladas directamente desde la consola de administración y proporciona formación automática a los usuarios que "caen". Es una herramienta de concienciación integrada en el ecosistema.

Quarantine policies (Directivas de cuarentena)

Define qué usuarios pueden gestionar su propia cuarentena y qué mensajes se notifican al destinatario. Una configuración incorrecta puede hacer que correos legítimos se pierdan en cuarentena sin notificación.

Auditoría y registros

Activa la auditoría unificada en el portal de cumplimiento de Microsoft 365. Esto registra todas las acciones en buzones (accesos, reenvíos, eliminaciones) y es esencial para las investigaciones forenses después de un incidente de correo.

El riesgo de la configuración por defecto

Microsoft 365 en su configuración por defecto tiene protección básica, pero está lejos del máximo disponible. Muchas empresas suscritas a planes con Defender for Office 365 nunca activan sus funcionalidades más importantes porque requieren configuración explícita.

Conclusión

SPF, DKIM y DMARC son el mínimo imprescindible. En Microsoft 365, activar Safe Links, Safe Attachments y las directivas anti-phishing avanzadas es el siguiente paso obligado. La configuración correcta de estos controles puede ser la diferencia entre detectar un ataque de phishing sofisticado o convertirse en su próxima víctima.

¿Sabes cuántos correos maliciosos llegan a tu Microsoft 365 cada semana sin ser detectados? Blindara monitoriza la actividad de tu entorno en tiempo real y te alerta cuando detecta comportamientos anómalos en tus cuentas de correo, accesos sospechosos o intentos de phishing activos. Solicita tu análisis gratuito y descubre tu nivel de exposición real.