Cómo cuidar la identidad digital corporativa en Microsoft 365

Por qué la identidad digital corporativa es el nuevo blanco

Una sola cuenta de Microsoft 365 puede concentrar el acceso al correo, los documentos y otras herramientas de la empresa. Para un atacante, eso simplifica el trabajo. Basta con comprometer una identidad para moverse entre varios servicios. No necesita vulnerar cada sistema por separado. El objetivo ya no es adivinar una contraseña, sino apoderarse de una sesión válida. Con ella, una cuenta comprometida se convierte en la puerta de entrada a información sensible.

Kali365, la alerta del FBI que pone en jaque al MFA

El caso más reciente es Kali365, una plataforma de phishing como servicio sobre la que alertó el FBI en mayo de 2026. Su propósito es obtener tokens de autenticación de cuentas de Microsoft 365. El ataque suele empezar con un correo que suplanta a un servicio conocido para compartir documentos. La víctima recibe un código y termina autorizando, sin saberlo, el dispositivo del atacante. Con esos tokens, el intruso puede mantener el acceso incluso si la empresa usa autenticación multifactor.

Las tácticas de phishing que imitan la rutina laboral

El phishing ya no depende de correos mal escritos o páginas burdas. Hoy los engaños se disfrazan de procesos cotidianos. Una solicitud de acceso o de autenticación puede parecer auténtica y formar parte de un ataque. Las redes WiFi públicas también son un riesgo, porque una red comprometida puede redirigir a páginas falsas. Otra táctica es el robo de sesiones activas mediante cookies y tokens. Todo se apoya en una falsa sensación de confianza: inicios de sesión, actualizaciones y avisos que parecen rutinarios.

Controles técnicos para blindar las cuentas de la empresa

Ninguna configuración detiene por sí sola todos estos ataques. La protección empieza por los equipos, con un antivirus capaz de detectar malware diseñado para robar credenciales y cookies de sesión. La autenticación multifactor (MFA) sigue siendo necesaria, porque añade una barrera si una contraseña queda expuesta. También conviene controlar los accesos. Eso implica limitar los inicios de sesión según el dispositivo o el nivel de riesgo. Y revisar cualquier actividad inusual en las cuentas.

Hábitos seguros: el papel de cada colaborador

La tecnología reduce el riesgo, pero la conducta de los usuarios sigue siendo decisiva. Por eso la capacitación de los empleados es clave. Incluso una solicitud familiar puede esconder un intento de fraude. Verificar su origen antes de actuar puede evitar que una cuenta termine en manos equivocadas. En espacios como hoteles o aeropuertos, lo prudente es no descargar archivos ni seguir instrucciones inesperadas desde los portales de conexión.

Proteger identidades es proteger la continuidad del negocio

Frente a amenazas que explotan cada vez mejor la confianza de las personas, proteger Microsoft 365 exige ir más allá de contraseñas y herramientas. La respuesta pasa por una cultura de ciberseguridad compartida. En ella, cada colaborador conoce los riesgos y asume un papel activo.

El riesgo también alcanza a la reputación de la empresa. Una cuenta corporativa comprometida puede servir para enviar mensajes en nombre de la organización a clientes, proveedores o socios. Para quien los recibe, esos correos parecen legítimos porque salen de una dirección real. Si alguien cae en el engaño, la confianza en la marca queda en entredicho, aunque la empresa también sea víctima. Por eso, proteger las cuentas no es solo una tarea técnica. Forma parte de la gestión de la credibilidad frente a quienes interactúan a diario con la compañía.