La caída global de Microsoft 365 amplía temporalmente la superficie de riesgo para las organizaciones

La incidencia que afecta a Outlook, Exchange Online y otras aplicaciones de Microsoft 365 está provocando problemas de acceso e interrupciones en el servicio de correo corporativo. Desde el punto de vista de la ciberseguridad, sin embargo, el impacto relevante va más allá de la disponibilidad de los servicios.

Microsoft está gestionando el incidente bajo los identificadores EX1550543, asociado a la degradación de Exchange Online a través de Outlook web, MAPI, Exchange ActiveSync y conexiones REST, y MO1550821, que recoge la afectación sobre otros servicios del ecosistema Microsoft 365.

Entre los componentes afectados se encuentran Microsoft Defender XDR, Defender for Office 365 y determinados controles de Microsoft Purview. Microsoft ha señalado, además, que Safe Links puede no verificar correctamente determinadas URL, afectando a enlaces abiertos desde Outlook y Teams.

La incidencia adquiere especial relevancia desde el punto de vista de la seguridad porque no solo afecta al canal habitual de comunicación de muchas organizaciones, sino que también puede limitar temporalmente determinadas capacidades de prevención, detección y respuesta.

Cuando la continuidad obliga a cambiar de canal

Ante la indisponibilidad del correo corporativo, es previsible que los equipos recurran a canales alternativos como llamadas telefónicas, SMS, WhatsApp u otras plataformas para mantener la actividad.

El problema no está necesariamente en utilizar esos canales, sino en trasladar a ellos procesos y decisiones sensibles sin mantener las mismas garantías de verificación.

En este contexto, un atacante puede construir pretextos especialmente creíbles:

"Te contacto por aquí porque Outlook no funciona".

"Necesitamos validar de nuevo tu acceso".

"Utiliza este enlace temporal".

"Confírmame el código MFA para restablecer el servicio".

Una llamada puede aparentar proceder del equipo de soporte, un SMS puede dirigir a una página falsa y una conversación a través de una aplicación personal puede dejar datos, instrucciones o aprobaciones fuera de los controles corporativos habituales.

La urgencia juega, además, a favor del atacante. Cuando los usuarios saben que existe una incidencia real y necesitan continuar trabajando, una petición excepcional puede resultar mucho más verosímil de lo que sería en condiciones normales.

Phishing, smishing, vishing y suplantación

La combinación de urgencia, uso de canales alternativos y posible reducción temporal de determinados controles de seguridad puede facilitar campañas de phishing, smishing y vishing, así como otros ataques de ingeniería social.

A estos vectores se suma el uso de técnicas basadas en inteligencia artificial, como los deepfakes de voz o vídeo, que pueden hacer más convincente una suplantación.

También pueden producirse intentos de hacerse pasar por personal de soporte técnico o ataques de fatiga de MFA (MFA fatigue), en los que la víctima recibe repetidas solicitudes de autenticación hasta que termina aprobando una de ellas.

Otro riesgo relevante es el fraude asociado al compromiso del correo corporativo (BEC), especialmente cuando una incidencia obliga a modificar temporalmente procedimientos relacionados con pagos, proveedores, cambios de cuentas bancarias o autorizaciones internas.

El denominador común es el mismo: aprovechar una situación excepcional para conseguir que también se relajen los mecanismos habituales de confianza y verificación.

La incidencia no tiene que ser maliciosa para convertirse en una oportunidad

Por el momento, Microsoft indica que no existen evidencias de actividad maliciosa asociada al origen del incidente.

Eso no elimina el riesgo de seguridad.

Una interrupción legítima puede proporcionar a los ciberdelincuentes un contexto especialmente útil para construir campañas oportunistas. No necesitan provocar la caída: basta con aprovecharla mientras persisten la incertidumbre, la necesidad de continuar operando y la posible degradación parcial de algunos controles.

Por eso, durante este tipo de situaciones, la continuidad operativa y la ciberseguridad deberían gestionarse conjuntamente.

Qué pueden hacer las organizaciones

La primera medida es utilizar únicamente canales alternativos previamente autorizados y conocidos por los empleados. Una incidencia tecnológica no debería implicar automáticamente una relajación de los procedimientos de seguridad.

Las operaciones especialmente sensibles -cambios de credenciales, recuperación de accesos, modificaciones de cuentas bancarias, pagos o autorizaciones excepcionales- deberían verificarse mediante una segunda vía independiente.

También conviene recordar una regla fundamental: ningún procedimiento legítimo de soporte debería requerir que un usuario facilite códigos MFA, contraseñas u otros secretos de autenticación a través de una llamada, SMS o conversación de mensajería.

Pero las medidas preventivas dirigidas al usuario son solo una parte de la respuesta.

Ampliar la vigilancia durante la ventana de incertidumbre

Durante este tipo de incidencias, la continuidad operativa debería ir acompañada de una vigilancia reforzada de la amenaza.

Desde Babel recomendamos prestar especial atención, durante la interrupción y en las horas posteriores, a los intentos de autenticación, comportamientos anómalos asociados a MFA, actividad inusual en las cuentas y solicitudes sensibles recibidas a través de canales alternativos.

Pero la vigilancia no debería limitarse al perímetro interno de la organización. Las capacidades de Cyber Threat Intelligence permiten ampliar esa visibilidad para identificar posibles dominios fraudulentos, campañas de phishing, exposición de credenciales y otros señuelos que puedan utilizar Microsoft 365, la propia organización o la incidencia como pretexto.

Esta información puede complementar las capacidades de monitorización, detección y respuesta del SOC, aportando contexto adicional para identificar y priorizar posibles intentos de fraude o suplantación.

El objetivo es observar simultáneamente dos dimensiones del riesgo: qué está ocurriendo dentro de la organización y qué señales aparecen fuera de ella que puedan indicar que alguien está intentando aprovechar la situación.

Porque recuperar el correo o restablecer un servicio no significa necesariamente que el riesgo haya terminado.

Una interrupción operativa también puede convertirse en una ventana de oportunidad para el adversario. Y la resiliencia consiste tanto en recuperar la tecnología como en evitar que la excepción operativa se convierta en una excepción de seguridad.