Investigación de cuentas comprometidas: guía completa para Microsoft 365 y entornos en la nube

By Mirko Peters · 2026-04-26

Investigación de cuentas comprometidas: guía completa para Microsoft 365 y entornos en la nube

Automatically translated with AI from the original post. Read the English original

Si estás aquí, seguramente sabes que gestionar una cuenta comprometida nunca consiste solo en cambiar una contraseña y dar el asunto por resuelto. Esta guía te presenta un marco práctico y basado en la experiencia para investigar cuentas comprometidas, sobre todo en Microsoft 365, Azure y entornos de trabajo híbridos en la nube. Encontrarás estrategias reales para detectar actividad sospechosa, aprovechar las herramientas forenses específicas de Microsoft y responder con decisión.

Con las amenazas en constante evolución, no puedes permitirte ensayo y error. Este recurso aborda el porqué, el cómo y el qué hacer a continuación: desde identificar señales de alerta, usar los registros de auditoría y recuperar el acceso de forma segura, hasta reforzar la seguridad para que no vuelva a ocurrir. Las herramientas, los procedimientos y las tácticas de prevención que se describen aquí se centran en los sistemas de Microsoft, pero se aplican de forma general a los entornos en la nube que usas a diario.

Qué son las cuentas comprometidas y por qué son un riesgo

Todo cambia en cuanto entiendes qué significa realmente una cuenta comprometida y por qué no puedes permitirte pasar por alto ni las señales más sutiles de problemas. Las cuentas comprometidas no afectan solo a un usuario: abren la puerta a datos empresariales sensibles, registros financieros y la información personal de tu organización y de tus clientes. Reconocer esta base es el primer paso para construir una estrategia de defensa eficaz.

Los ataques rara vez entran por la puerta principal. La mayoría de las cuentas comprometidas empiezan de forma discreta: quizá con un correo de phishing o con una contraseña reutilizada de aquel sitio antiguo que habías olvidado. Otras veces, los atacantes entran a través de filtraciones de datos que escapan a tu control, aunque el impacto recaiga de lleno sobre ti. Y ni hablar del malware o de los ataques de phishing por consentimiento OAuth, que golpean con especial dureza en los entornos de Microsoft 365.

Tus cuentas son las llaves del reino: correo, portales financieros, inicios de sesión en redes sociales e incluso acceso a nivel de sistema. Pasar por alto señales sutiles, como inicios de sesión desde ubicaciones desconocidas o dispositivos que aparecen de la nada, puede costarte muy caro. Entender qué tipos de cuentas corren riesgo, cómo las brechas de seguridad eluden las protecciones básicas y cuáles son los síntomas habituales te ayuda a detectar el problema y responder a tiempo.

A continuación detallaremos qué hace que una cuenta sea "comprometida", las principales vías que usan los atacantes para entrar y las señales de alerta prácticas que debes vigilar en tus entornos de Microsoft y Google. Prepárate para reforzar la seguridad: el conocimiento es tu mejor defensa para mantener las amenazas donde deben estar, fuera de tu perímetro.

¿Qué son las cuentas comprometidas?

Una cuenta comprometida es cualquier identidad digital, como tu correo, un acceso financiero o una cuenta de administrador en la nube, a la que ha accedido o que controla alguien no autorizado. Los atacantes pueden entrar mediante contraseñas robadas, ataques de phishing o aprovechando debilidades de tu sistema. El tipo de cuenta importa: una cuenta de correo comprometida suele difundir spam o lanzar nuevos ataques, mientras que una cuenta financiera vulnerada supone un riesgo directo de pérdida económica y robo de datos.

No existe una amenaza única que sirva para todos los casos. Por ejemplo, una brecha en una cuenta de administrador en la nube de Microsoft 365 podría exponer archivos sensibles, aplicaciones e incluso los directorios de usuarios. Por su parte, una cuenta de redes sociales comprometida puede poner en riesgo la reputación de la marca o la información personal. Cada escenario requiere una respuesta personalizada: lo que funciona para una brecha de correo no siempre sirve para un compromiso financiero. Detectar las señales tempranas de alerta es esencial para minimizar el daño en cualquier entorno digital.

¿Cómo se produce el compromiso? Phishing, contraseñas débiles y filtraciones de datos

1. Estafas de phishing: los atacantes engañan a los usuarios para que entreguen sus credenciales mediante correos, enlaces o páginas de inicio de sesión falsas. El phishing sigue siendo la principal forma de vulnerar cuentas, sobre todo en Microsoft 365 y en las aplicaciones en la nube, ya que aprovecha más el error humano que los fallos técnicos.
2. Contraseñas débiles o reutilizadas: usar contraseñas como "Password123" o reciclar el mismo inicio de sesión en varios sitios es una invitación abierta a los ciberdelincuentes. Los ataques de relleno de credenciales explotan contraseñas filtradas en otras brechas, por lo que la fortaleza y la unicidad de cada contraseña son absolutamente críticas.
3. Malware y keyloggers: el software malicioso instalado a través de adjuntos infectados o dispositivos comprometidos puede capturar tus pulsaciones de teclado o extraer tokens de autenticación sin que te des cuenta. Esto puede eludir incluso defensas más avanzadas si el endpoint no está protegido.
4. Filtraciones de datos públicas y conocidas: Las listas de credenciales robadas en brechas de otras organizaciones suelen ser reutilizadas por los atacantes con herramientas automatizadas. Cuando un atacante ya tiene tu nombre de usuario y una contraseña probable, es cuestión de tiempo que las pruebe en plataformas como Microsoft 365.
5. Consentimiento de OAuth y abuso de tokens: Los atacantes pueden aprovechar el proceso de consentimiento de OAuth, sobre todo en Entra ID dentro de Microsoft 365 o Azure, para obtener acceso persistente, incluso después de restablecer la contraseña o de actualizar la autenticación multifactor. Para más detalles, lee sobre el abuso del consentimiento de OAuth y los controles relacionados, que muestran cómo los atacantes pueden mantener un acceso sigiloso mediante aplicaciones consentidas.

Todos estos vectores de ataque son amenazas persistentes porque apuntan tanto a vulnerabilidades técnicas como a hábitos humanos. Ninguna capa de defensa basta por sí sola, así que entender cómo se producen (y mantenerse al día con las nuevas técnicas) es la base para prevenir el próximo compromiso.

Reconocer actividad sospechosa en cuentas de usuario y de Google

• Ubicaciones u horarios de inicio de sesión inusuales: Ver inicios de sesión desde países o regiones en los que no operas, o a horas extrañas, puede ser la primera señal de que algo va mal.
• Dispositivos o direcciones IP desconocidos: Nuevos teléfonos inteligentes o equipos que acceden a tus cuentas sin explicación son una señal de alarma, sobre todo si de repente aparecen eventos de sincronización que no reconoces.
• Patrones de acceso a datos anómalos: Descargas rápidas o acceso a grandes volúmenes de datos, por ejemplo desde Google Drive o Microsoft OneDrive, suelen indicar un acceso no autorizado o un robo de datos en curso.
• Cambios en la configuración de seguridad: Si el correo de recuperación, las opciones de verificación en dos pasos o las contraseñas de aplicación se modifican sin que lo sepas, actúa de inmediato.

Detectar estas señales a tiempo te puede dar un margen crítico para bloquear la cuenta antes de que el daño se extienda, sobre todo si las combinas con las alertas automáticas de tu panel de seguridad de Microsoft o de Google.

Herramientas de investigación y registros de auditoría para cuentas comprometidas en Microsoft 365

Ahora que sabes qué buscar, el siguiente paso es demostrar que se produjo un compromiso y averiguar exactamente qué salió mal. Microsoft 365 y las plataformas en la nube incluyen potentes herramientas de auditoría diseñadas precisamente para esto. Revisar los registros adecuados y los detalles forenses te permite reconstruir las acciones del atacante, identificar qué se accedió o se cambió y entender el impacto total de una brecha.

Los registros de auditoría, los informes de actividad de buzones y las soluciones de monitorización como Microsoft Purview y Microsoft Sentinel ofrecen una vista centralizada de las acciones de usuarios y administradores en todos los servicios conectados. Estos registros capturan todo, desde qué correos se abrieron hasta las descargas masivas de archivos o los nuevos registros de dispositivos. Pasar a soluciones de auditoría con retención más larga y señales más ricas, sobre todo en entornos regulados o de alto riesgo, puede marcar la diferencia entre una recuperación rápida y una brecha invisible.

Más allá de las herramientas técnicas, también es fundamental considerar cómo se relacionan con la seguridad las revisiones de acceso y propiedad, la gestión de permisos y la gobernanza de datos. Para profundizar, consulta cómo Microsoft Purview Audit ofrece visibilidad de todo el inquilino, y cómo las buenas prácticas de gobernanza de datos evitan que accesos no autorizados o obsoletos permanezcan en tu entorno.

Vamos a entrar en los detalles técnicos de la forense de buzones y en la detección de accesos anómalos usando las herramientas de auditoría disponibles en Microsoft 365.

Cuentas comprometidas, MailItemsAccessed y auditoría de buzones

1. Entender MailItemsAccessed: Esta acción de auditoría de Microsoft 365 registra cuándo alguien, ya sea el propietario de la cuenta o un atacante, abre o previsualiza correos del buzón. Guarda detalles como quién lo hizo, desde dónde y qué elementos estaban implicados. Esto es fundamental para el análisis forense tras un compromiso.
2. Configuración de la auditoría de buzones: Habilitar la auditoría de buzones garantiza que se registre cada evento de acceso, tanto de usuarios habituales como de cuentas privilegiadas. La mayoría de los planes la activan hoy por defecto, pero conviene confirmar que está activa para todos los usuarios sensibles.
3. Investigar con los registros de auditoría: Tras un compromiso, los registros de MailItemsAccessed ayudan a determinar qué mensajes, archivos o carpetas abrió el atacante. Ordenar por hora de acceso, usuario y ubicación puede revelar qué se vio, qué se exportó y si la brecha llegó a materiales confidenciales o a activos críticos para el negocio.
4. Filtrar y analizar los datos forenses: Usa Microsoft Purview Audit para filtrar los eventos MailItemsAccessed por usuario, ubicación, aplicación o intervalo de tiempo. Para investigaciones avanzadas, valora la posibilidad de actualizar a Audit Premium, que ofrece una retención de registros más larga y una mayor granularidad de las señales. Consulta esta guía sobre Purview Audit para ver la configuración y las mejores prácticas.

La auditoría de buzones combinada con un filtrado inteligente es tu arma secreta para responder a estas preguntas: ¿qué vio el atacante, cuándo y quién necesita ser notificado o remediado primero?

Auditar los eventos de acceso y sincronización para detectar un compromiso

Los registros de auditoría desempeñan un papel fundamental a la hora de rastrear quién accedió a qué, cuándo y desde dónde en tu entorno de Microsoft 365. Al supervisar de forma continua los eventos de acceso y sincronización, como los inicios de sesión de usuarios, las descargas de archivos o las sincronizaciones de dispositivos, las organizaciones pueden detectar patrones que se desvían del comportamiento normal. Anomalías como los intentos de sincronización repetidos, los accesos desde ubicaciones extranjeras o los registros de nuevos dispositivos pueden indicar un compromiso de cuenta en curso.

Las configuraciones basadas en la nube y las híbridas hacen que la supervisión proactiva de los registros sea aún más crítica. Herramientas modernas como Microsoft Defender for Cloud integran la supervisión de cumplimiento y de seguridad, lo que ayuda a detectar sesiones anómalas y a evitar desviaciones en las configuraciones de la nube. Puedes leer más sobre la supervisión automatizada del cumplimiento con Microsoft Defender for Cloud aquí.

Manual de respuesta a incidentes para cuentas comprometidas

Incluso con defensas sólidas, un correo de phishing bien planteado o un atacante astuto pueden burlar los mejores planes. Ahí es donde entra en juego tu manual de respuesta a incidentes. Adoptar un enfoque organizado y por fases, alineado con marcos como NIST, garantiza que no te veas improvisando cuando cada segundo cuenta.

El manual debe guiarte desde la preparación, como la formación de tu equipo y la configuración de procesos de notificación claros, pasando por el caos de la detección y la contención, hasta la erradicación y la recuperación. En cada paso, tu objetivo es minimizar la interrupción del negocio, proteger los datos sensibles e impedir que los atacantes vuelvan a intentarlo. A medida que ganes experiencia, revisar y actualizar la respuesta a incidentes a partir de lecciones reales es clave para mantener la resiliencia.

Los ataques modernos suelen eludir las defensas de una sola capa, a veces con técnicas nuevas como el phishing de consentimiento o el robo de tokens, que van más allá de las simples contraseñas. Para un análisis real de las cadenas de ataque modernas en Microsoft 365, consulta este desglose de técnicas de ataque y métodos de detección.

Veamos las fases: preparación y detección temprana, contención y solución del problema, y aprendizaje de cada incidente para reforzar tu defensa en el futuro.

Preparación e identificación: detección temprana y notificación

1. Formación en concienciación de seguridad: Forma al personal para que detecte de forma proactiva los intentos de phishing, las alertas de inicio de sesión sospechosas y los cambios no autorizados. Todos deben saber cómo son las estafas habituales y cómo responder sin dudar.
2. Canales de notificación de incidentes: Establece vías claras y bien comunicadas para que los usuarios informen de actividades sospechosas, como líneas directas específicas, sistemas de tickets o rutas de escalado urgente.
3. Alertas automatizadas y directivas unificadas: Utiliza la seguridad unificada de identidad, dispositivo y sesión para activar alertas en tiempo real y favorecer una fase de identificación rápida. Adoptar Zero Trust by Design garantiza que solo accedan usuarios y dispositivos verificados, reduciendo drásticamente la ventana de tiempo que tienen los atacantes para moverse sin ser detectados.

Contención, erradicación y recuperación de las cuentas afectadas

1. Aislar la cuenta comprometida: Deshabilita de inmediato el inicio de sesión de la cuenta afectada o, si es viable, sácala de la red. Así se impide que el atacante se desplace lateralmente a otros sistemas.
2. Revocar sesiones y tokens: Cierra todas las sesiones activas y revoca los tokens OAuth o de API, para que los atacantes pierdan el acceso persistente aunque se cambien las credenciales.
3. Restablecer contraseñas y exigir MFA: Exige un restablecimiento de contraseña seguro y habilita la autenticación multifactor antes de restaurar el acceso. No olvides las cuentas de servicio ni las credenciales vinculadas.
4. Revisar y corregir permisos: Audita a qué accesos tenía la cuenta y limita cualquier privilegio excesivo. Comprueba también si se modificaron la configuración o los grupos de seguridad.
5. Restaurar las operaciones de forma segura: Una vez verificado todo, restaura el acceso de forma gradual y supervisa en todo momento si hay comportamientos anómalos. Usa herramientas de protección frente a amenazas como Microsoft Defender y la aplicación de directivas a través de Microsoft Purview para evitar que se repita. Para un flujo de trabajo detallado, consulta las mejores prácticas de seguridad para Microsoft 365.

Este proceso garantiza que no solo expulses al atacante, sino que también cierres la puerta con llave y compruebes las cerraduras antes de volver a dar la bienvenida a tus usuarios.

Lecciones aprendidas y actualizaciones de seguridad posteriores al incidente

• Realizar una revisión exhaustiva: Celebra una reunión posterior al incidente para analizar qué funcionó bien, qué se pasó por alto y cómo deben mejorarse los protocolos para la próxima vez.
• Actualizar los controles de seguridad: Refuerza los puntos débiles: actualiza las directivas de grupo, habilita nuevas funciones de auditoría y revisa los controles de acceso de todas las cuentas privilegiadas.
• Documentar y comunicar: Conserva registros detallados con fines legales, de cumplimiento y de aprendizaje. No te limites a solucionar el problema inmediato: actualiza los materiales de formación y comparte los puntos clave con las partes interesadas en seguridad.
• Aplicar una mejor gobernanza: Evita repetir errores tratando Microsoft 365 como un sistema integral y no como herramientas aisladas. Para un análisis detallado de la gobernanza eficaz, consulta los errores habituales de gobernanza en Microsoft 365 y cómo evitarlos.

Medidas defensivas y pasos de seguridad para prevenir cuentas comprometidas

¿Para qué esperar a tener problemas si puedes mantenerlos a raya? La mejor defensa contra las cuentas comprometidas combina controles técnicos sólidos con sentido común. Los hábitos con las contraseñas, la autenticación por capas, la formación inteligente y la gestión de la exposición trabajan juntos para que sea difícil para los atacantes entrar, o incluso encontrar la puerta.

Microsoft 365 y las plataformas en la nube ofrecen de forma predeterminada funciones de seguridad sólidas, pero tu verdadera fortaleza está en personalizar estas barreras para adaptarlas a tus riesgos y flujos de trabajo concretos. No pases por alto aspectos como supervisar los nuevos conectores, realizar evaluaciones periódicas de exposición o priorizar la seguridad de todos los usuarios, no solo la de los profesionales de TI.

La prevención eficaz no consiste en molestar a los usuarios con ventanas emergentes o bloqueos interminables. Se trata de hacer que las decisiones seguras sean automáticas e invisibles siempre que sea posible, a la vez que vigilas de cerca los sistemas y las cuentas que más atraen a los atacantes. Si trabajas con Microsoft Power Platform o tienes problemas con los desarrolladores ciudadanos que usan nuevas herramientas, merece la pena revisar las mejores prácticas de gobernanza para Power Platform para cerrar cualquier brecha.

A continuación, los pasos esenciales y prácticos para crear y mantener un entorno que frustre a los atacantes antes de que se acerquen a esas cuentas.

Pasos de seguridad para la prevención: contraseñas seguras, 2FA y defensa contra el phishing

• Exigir contraseñas seguras y únicas: Requiere contraseñas que combinen letras, números y símbolos, y no reutilices credenciales en varias cuentas ni con servicios de terceros.
• Habilitar la autenticación multifactor (2FA): La autenticación en dos pasos añade una capa crucial que dificulta mucho que los atacantes entren solo con contraseñas robadas.
• Formación continua sobre phishing: Realiza campañas de concienciación periódicas y pruebas de phishing simuladas para que los usuarios aprendan a reconocer y notificar los correos sospechosos antes de hacer clic en algo arriesgado.
• Supervisar y responder a los cambios de seguridad: Vigila los cambios no autorizados en las opciones de recuperación de cuentas, las contraseñas de aplicación o la configuración de acceso externo, ya que suelen indicar un ataque en curso o intentado.

Puesta en práctica de la gestión de exposición y la evaluación de vulnerabilidades

1. Evaluaciones de vulnerabilidades periódicas: Analiza tu nube, aplicaciones y API de forma programada: identifica configuraciones incorrectas, sistemas sin parches o permisos arriesgados antes de que lo haga un atacante.
2. Seguridad de la nube y de las aplicaciones: Configura herramientas de supervisión, aplica reglas de acceso con privilegios mínimos y revisa todas las aplicaciones, conectores y extensiones de terceros. No des nada por seguro por defecto, sobre todo a medida que tu entorno de Microsoft 365 crece.
3. Seguridad de API y caza de amenazas: Las API conectan sistemas críticos, pero suelen pasarse por alto. Supervisa el uso de las API para detectar anomalías, busca solicitudes o intentos de acceso anómalos y desactiva las interfaces heredadas o sin uso.
4. Aprovecha la inteligencia de amenazas: Utiliza fuentes externas de amenazas y avisos de seguridad para actualizar tu postura defensiva. Anticípate conociendo qué filtraciones de credenciales o técnicas de ataque son tendencia entre los adversarios reales.
5. Da prioridad a la continuidad de la gobernanza: Convierte la gestión operativa de la exposición en parte de la rutina diaria, no en una casilla que se marca una vez al año. Si estás listo para profundizar, explora las técnicas y la automatización de gobernanza de Microsoft 365 (aunque ten en cuenta que este recurso de automatización redirige actualmente a episodios recientes del podcast por falta de contenido).

Poner en práctica la gestión de exposición no es glamuroso, pero es donde detienes los riesgos antes de que se conviertan en titulares. Una evaluación de vulnerabilidades bien enfocada, combinada con la caza proactiva de amenazas, mantiene tu entorno lo más hermético posible.

Guía específica por plataforma: cómo proteger las cuentas de Google tras una brecha

Si crees que solo las cuentas de Microsoft 365 son objetivo, piénsalo de nuevo. Los atacantes van donde están las cuentas, y los servicios de Google también tienen mucho valor. Ya seas administrador de Google Workspace o un usuario habitual, saber qué pasos dar justo después de detectar algo sospechoso puede marcar la diferencia entre una recuperación rápida y un daño continuado.

Esta sección está pensada para los momentos en que tu cuenta de Google ha sido comprometida o te preocupa que pueda serlo. Encontrarás pasos prácticos para recuperar el control, expulsar a los intrusos y restablecer la configuración de seguridad. Muchos administradores de Microsoft 365 ya gestionan usuarios con aplicaciones conectadas a la nube que abarcan Google Drive, Gmail y servicios de identidad compartidos, por lo que es fundamental proteger ambos lados tras una brecha.

También es importante estar al día con los últimos manuales, recursos y contactos de soporte directo. No hay ninguna vergüenza en pedir ayuda a guías oficiales o a personal verificado si la situación se complica. Hacerlo bien a la primera ayuda a evitar que los atacantes usen una brecha para saltar a todo tu entorno. A continuación encontrarás recursos revisados por expertos y pasos detallados para guiarte en un incidente de seguridad de una cuenta de Google.

Recursos de expertos, manuales y dónde obtener ayuda

• Manuales de seguridad descargables: Busca guías modernas de respuesta a incidentes de Microsoft, Google y empresas de ciberseguridad de confianza. Ofrecen listas de comprobación paso a paso para notificar y remediar cuentas comprometidas.
• Consejos de expertos e inteligencia de amenazas: Consulta los consejos seleccionados de los propios equipos de respuesta a incidentes de Microsoft y de los principales blogs de ciberseguridad. Apoyarte en la documentación oficial y en fuentes de amenazas activas te proporciona orientación actualizada sobre ataques y técnicas de defensa.
• Contactos de personal y soporte: No dudes en contactar con el equipo de TI interno, con el soporte de Google Workspace o con los servicios de ayuda de Microsoft para recibir asistencia inmediata. Saber a quién llamar ahorra tiempo y nervios cuando hay que escalar un incidente.
• Guías avanzadas de Copilot y prevención de pérdida de datos: Implementa controles contra la fuga de datos y una gobernanza avanzada de agentes, tal como se explica en Copilot agent governance using Microsoft Purview, para evitar que los atacantes extraigan datos de Google o Microsoft 365 una vez dentro.

Análisis de comportamiento para la actividad de cuentas comprometidas

Las cuentas comprometidas no siempre se delatan con grandes alarmas: a veces la única pista es que un usuario cambia de repente sus hábitos. El análisis del comportamiento cubre ese hueco cuando las credenciales parecen válidas pero las acciones no encajan con el patrón habitual. Si analizas cuánto duran las sesiones, vigilas la frecuencia inusual de inicios de sesión y te fijas en las exportaciones de datos, puedes descubrir ataques sutiles que otras herramientas podrían pasar por alto.

Los equipos de seguridad modernos usan User and Entity Behavior Analytics (UEBA) para medir qué es "normal" para cada usuario y marcar las desviaciones para revisarlas. La puntuación de riesgo automatizada te ayuda a priorizar qué anomalías son realmente peligrosas y cuáles son solo alguien que trabaja hasta tarde o desde unas vacaciones. Estos análisis no son solo una capa más: son fundamentales para detectar amenazas sofisticadas y sigilosas que se esconden entre usuarios legítimos, sobre todo en entornos de Microsoft 365 y nube híbrida extensos.

Aplicar el análisis del comportamiento a tus investigaciones de cuentas comprometidas significa que no solo persigues los métodos de ataque de ayer; te adelantas un paso y encuentras indicadores que los registros de auditoría estáticos por sí solos no pueden proporcionar.

Correlación de compromisos de cuentas entre plataformas y movimiento lateral

Los atacantes modernos rara vez se detienen en una sola cuenta: quieren maximizar el impacto saltando de un sistema a otro. El movimiento lateral es la forma en que una brecha en una plataforma (por ejemplo, Google o una aplicación SaaS abandonada) se propaga hasta tu Microsoft 365 o tus redes internas. Detectar y bloquear esta actividad entre plataformas es, con frecuencia, la diferencia entre un dolor de cabeza menor y un incidente grave.

Para mantener el control, necesitas correlacionar la actividad sospechosa entre identidades federadas, consentimientos de OAuth y registros de auditoría. Busca reutilización de contraseñas, exposición de credenciales en filtraciones públicas o instancias de "shadow IT" en Microsoft 365. Herramientas prácticas, como Microsoft Defender for Cloud Apps y los registros detallados de Entra ID, revelan patrones de abuso de API, privilegios excesivos y puntos de pivote que delatan a los atacantes.

No subestimes el riesgo de las brechas encadenadas. Para un plan útil con el que abordar el shadow IT y mitigar la proliferación de aplicaciones, consulta esta guía práctica sobre Shadow IT y gobernanza en Microsoft 365. Conectar los puntos entre servicios y cerrar las brechas innecesarias hace que los atacantes encuentren una puerta cerrada tras otra, en lugar de un pasillo abierto.