Entendiendo los casos límite de los protocolos heredados en el ecosistema de Microsoft

By Mirko Peters · 2026-04-26

Los protocolos de autenticación heredados (piensa en NTLM, SMTP AUTH o incluso el FTP de toda la vida) pueden parecer problemas de otra época, pero siguen ahí, muy persistentes…

Automatically translated with AI from the original post. Read the English original

Los protocolos de autenticación heredados (piensa en NTLM, SMTP AUTH o incluso el FTP de toda la vida) pueden parecer problemas de otra época, pero se resisten a desaparecer en el entorno empresarial actual, centrado en Microsoft. Las organizaciones migran a Microsoft 365 y Azure, pero los casos límite vinculados a estos protocolos debilitan en silencio las estrategias de confianza cero y de seguridad. Puedes cerrar la puerta principal con autenticación multifactor, pero a veces hay una ventana antigua abierta en el sótano.

¿Por qué siguen causando dolores de cabeza estos casos límite? La realidad es que modernizar la TI no siempre puede hacerse de la noche a la mañana. Muchos sistemas empresariales críticos, integraciones de terceros e incluso dispositivos de tecnología operativa están diseñados para usar protocolos más antiguos. Los atacantes lo saben, así que apuntan a todo lo que sigue en funcionamiento, eluden los controles modernos y abren brechas donde menos las espera el equipo de seguridad.

Este artículo analiza cómo y por qué persisten los riesgos de los protocolos heredados a medida que las empresas evolucionan sus entornos de Microsoft. Definiremos las piezas técnicas, exploraremos los peligros críticos para el negocio y te explicaremos qué puedes hacer, desde la detección hasta la gobernanza, para cerrar definitivamente estas brechas persistentes. Vamos a profundizar para entender de dónde vienen realmente los riesgos y cómo cerrar para siempre esas puertas traseras.

Vulnerabilidades de protocolos heredados y explotación en el mundo real

Incluso con las defensas nativas de la nube y la autenticación multifactor, los atacantes siguen sacando partido de los eslabones débiles que quedan de décadas pasadas. Los protocolos heredados, como NTLM para la autenticación, SMTP AUTH para el correo y el FTP básico o POP3 para el movimiento de datos, se mantienen porque los sistemas reales necesitan seguir funcionando mientras las empresas se modernizan. Los atacantes lo aprovechan, porque a menudo les permite colarse directamente en los sistemas mejor protegidos de una empresa.

En los entornos híbridos actuales, estos protocolos antiguos no se limitan a un único servidor escondido en el centro de datos. Están presentes en las plataformas de identidad en la nube, en las aplicaciones de línea de negocio e incluso en dispositivos OT e IoT que no pueden usar la autenticación moderna. Es difícil eliminarlos gradualmente, ya que bloquearlos sin más puede romper algo crítico, y la detección en todas esas áreas no siempre es coherente.

¿El resultado? Incidentes como las brechas de Vercel y Orange España demuestran que basta con un solo protocolo olvidado para abrir la puerta al robo de datos o al compromiso de la red. Los atacantes usan estas rutas heredadas para eludir la autenticación multifactor, retransmitir credenciales o escalar permisos tanto en cargas de trabajo en la nube como locales. Vamos a desglosar exactamente cómo funcionan estos ataques, por qué los protocolos son inherentemente defectuosos y dónde se esconden los riesgos de negocio más persistentes.

También hablaremos de los hábitos operativos que mantienen vivos estos riesgos, como confiar en una higiene de directivas laxa o heredar años de deuda técnica de integraciones del tipo «solo hay que hacer que funcione». Los apartados siguientes profundizarán en cómo se explotan las vulnerabilidades heredadas, en los defectos sistémicos de los protocolos y en los puntos en los que las defensas modernas topan con callejones sin salida. Si buscas un entorno de Microsoft realmente seguro, necesitas saber exactamente dónde se ocultan estas amenazas antiguas y cómo siguen colándose cuando tus registros dicen que todo está «seguro». Para saber más sobre cómo se encadenan estos ataques en el mundo real, consulta este desglose detallado de las cadenas de ataque de Microsoft 365.

Cómo las brechas de datos de Vercel y de Orange España expusieron los riesgos de los protocolos heredados

Las brechas de Vercel y Orange España pusieron de manifiesto que los riesgos de los protocolos heredados no son una preocupación hipotética. En ambos incidentes, los métodos de autenticación obsoletos desempeñaron un papel clave, dando a los atacantes un juego de llaves para avanzar más profundamente en las redes corporativas. En el caso de Vercel, los atacantes lograron extraer variables de entorno y secretos de cientos de clientes de alto perfil, todo porque las credenciales vinculadas a flujos de autenticación heredados seguían en uso en segundo plano.

La brecha de Orange España mostró un patrón similar. Aquí, los atacantes superaron las defensas de primera línea usando credenciales válidas robadas, muchas de las cuales no habrían funcionado si no hubieran estado habilitados protocolos heredados como POP3/IMAP o SMTP AUTH sin protección para el correo electrónico. El informe anual de amenazas de IBM señala que el robo de credenciales sigue siendo el principal vector de acceso inicial en las brechas empresariales, sobre todo cuando las organizaciones no eliminan de forma proactiva los métodos de autenticación obsoletos.

Los expertos que analizan estos casos insisten en un punto clave: las vulnerabilidades de los protocolos heredados no son restos técnicos sin importancia. Suelen estar integradas en scripts de automatización, herramientas de copia de seguridad o incluso dispositivos embebidos que utilizan autenticación obsoleta a diario y sin que nadie lo note. Por ejemplo, en la cadena de ataque contra Vercel, protocolos como la autenticación básica y los tokens de acceso mal anidados permitieron a los atacantes eludir los controles de directiva modernos y moverse lateralmente una vez dentro de la red.

¿Qué pueden aprender las organizaciones? Las brechas de alto perfil siguen demostrando que proteger los puntos de entrada más recientes en la nube no es suficiente; la verdadera resiliencia exige eliminar estas rutas heredadas ocultas. Mientras eso no ocurra, los atacantes seguirán priorizando las rutas de acceso más fáciles y peor protegidas, que a menudo se ejecutan en segundo plano en entornos híbridos y multinube.

Retransmisiones NTLM y el problema de la autenticación básica: cómo eludir los controles de seguridad modernos

Los protocolos heredados como NTLM y la autenticación básica dan muchos dolores de cabeza a los equipos de seguridad, porque no cumplen con las reglas modernas de MFA. Así es como los actores de amenazas aprovechan estas debilidades para eludir las defensas:

1. Ataques de retransmisión NTLM:
2. Los atacantes capturan hashes NTLM en un dispositivo comprometido y los "retransmiten" a otros servicios a los que la víctima tiene acceso. Como NTLM no requiere conocer la contraseña original, el atacante puede suplantar a los usuarios sin necesidad de descifrar ninguna contraseña. Estas retransmisiones suelen ir desde AD local a la nube, sobre todo en configuraciones de identidad híbrida mal segmentadas.
3. Eludir MFA:
4. Protocolos como SMTP AUTH e IMAP no admiten MFA en absoluto. Si un atacante obtiene credenciales válidas, puede iniciar sesión mediante estos protocolos, incluso si MFA está forzado en las cuentas de usuario. Esto significa que las contraseñas débiles y reutilizadas se convierten en un único punto de fallo en entornos supuestamente seguros.
5. Movimiento lateral y escalada de privilegios:
6. Una vez dentro, los atacantes utilizan protocolos heredados para pivotar. Por ejemplo, al explotar la autenticación básica en una aplicación pasada por alto, pueden moverse lateralmente hacia sistemas con más privilegios. El acceso a un único servicio SMB o Exchange sin protección suele derivar en un compromiso de toda la red.
7. Omisión del acceso condicional:
8. Muchas directivas de Acceso condicional en Azure AD solo se aplican a los clientes de autenticación moderna. Los protocolos heredados pueden colarse por debajo de estas reglas, dejando "listas de permitidos" peligrosas o huecos en las directivas que los atacantes buscan activamente. ¿Quieres profundizar en los ciclos de seguridad de identidad y en cómo corregir la proliferación de Acceso condicional? Consulta este episodio del podcast sobre la reducción escalable de riesgos en entornos de Microsoft.

En resumen, puedes aplicar parches y configurar todos los controles modernos que quieras, pero si los protocolos heredados siguen presentes, los atacantes encontrarán la forma de sortear tus flamantes defensas casi siempre.

Fallos sistémicos: de las vulnerabilidades de MCP a los riesgos de LLMNR y NetBIOS

Los protocolos heredados de Microsoft arrastran fallos que no son simples errores, sino que están integrados en su diseño. Estos son los motivos por los que estas debilidades representan un riesgo persistente:

1. Fallos de MCP (Microsoft Connector Platform):
2. Algunas plataformas y conectores que usan los agentes de terceros y los scripts de automatización todavía dependen del paso de credenciales heredado, sin un enlace de tokens adecuado ni control de acceso granular. Los atacantes lo aprovechan para escalar privilegios, sobre todo cuando las directivas de los agentes no están bien gobernadas.
3. Debilidades de LLMNR (Link-Local Multicast Name Resolution):
4. LLMNR se diseñó para facilitar la resolución de nombres en la red, pero se abusa con facilidad para robar credenciales. Los atacantes difunden respuestas falsas y engañan a los sistemas cercanos para que entreguen hashes NetNTLM, que luego pueden descifrarse o retransmitirse.
5. Riesgos de nombres de NetBIOS:
6. Las redes antiguas de Windows siguen usando NetBIOS para la resolución de nombres, otro protocolo que nunca se diseñó pensando en la seguridad. Los atacantes pueden interceptar y manipular el tráfico para suplantar servicios o recopilar datos sensibles de la red, preparando así nuevos ataques.
7. Lagunas en la firma SMB:
8. La firma SMB se añadió para proteger los recursos compartidos de archivos, pero su aplicación es irregular, sobre todo en redes híbridas y entornos OT. Los atacantes lo aprovechan retransmitiendo credenciales o falsificando respuestas entre sistemas, a menudo saltando de la infraestructura OT heredada a la infraestructura TI moderna.

Deshabilitar protocolos como LLMNR y exigir la firma SMB son requisitos imprescindibles para cualquier estrategia real de Zero Trust. Si quieres profundizar en cómo el control coordinado y la seguridad adaptativa ayudan a cerrar estas brechas de protocolos, escucha el episodio del podcast Zero Trust by Design: es un análisis práctico sobre identidad unificada y controles de sesión.

Autenticación moderna frente a heredada: desafíos de transición y casos límite

Pasar de la autenticación heredada a la moderna es un proceso, no un cambio rápido. Al cerrar esta brecha, te encontrarás con todo tipo de casos límite. Aunque protocolos como OAuth 2 y MFA elevan el nivel de seguridad, la necesidad de mantener la compatibilidad con versiones anteriores suele dejar la puerta trasera entreabierta. Los flujos de autenticación «semimodernos», como los modelos híbridos o los protocolos que simulan ser modernos, aparecen por todas partes y complican tanto el cumplimiento normativo como la protección.

¿Por qué acaban las organizaciones con estas configuraciones híbridas? Es sencillo: las aplicaciones críticas, los servicios y las integraciones de terceros no siempre están preparados para desactivar la autenticación heredada de la noche a la mañana. A veces, un simple proceso de negocio o un flujo de automatización heredado depende de métodos de autenticación con décadas de antigüedad. Apresurarse a desactivarlos puede interrumpir el negocio o incumplir la normativa, así que se hacen excepciones, y ahí es donde entran los atacantes.

Un Zero Trust real implica cerrar cada brecha, no solo añadir capas nuevas y llamativas. El problema es que, al intentar modernizar la autenticación, algunas «mejoras» simplemente envuelven viejas vulnerabilidades en un envoltorio más nuevo, como BAV2ROPC u otros flujos de contraseña del propietario del recurso. Las lagunas en las directivas y las exclusiones pasadas por alto en el acceso condicional también pueden hacer que tu seguridad parezca moderna sobre el papel, mientras que las vías heredadas siguen totalmente abiertas.

Las siguientes secciones analizan en detalle los matices técnicos de estas configuraciones semimodernas y explican dónde incluso los mejores planes de mejora encuentran obstáculos reales. Si estás planificando una transformación real o simplemente intentas mantener a los atacantes fuera, conviene entender por qué el soporte heredado cuesta tanto de eliminar y dónde tu estrategia podría seguir dejándote expuesto. Para consejos sobre cómo crear líneas base fiables de directivas de acceso condicional, consulta este artículo sobre los problemas de confianza en las directivas.

El misterio de BAV2ROPC y los riesgos de la autenticación semimoderna

BAV2ROPC significa "Basic Authentication Version 2 Resource Owner Password Credential". Suena moderno, pero en realidad es un nuevo envoltorio para un problema antiguo. Este protocolo, que se ve a menudo en entornos de la nube de Microsoft, une la autenticación heredada y la moderna al permitir que las aplicaciones envíen de forma programática un nombre de usuario y una contraseña para obtener un token de recurso, sin necesidad de navegador ni de un flujo de consentimiento moderno.

Este enfoque «semimoderno» engaña a muchas organizaciones. En apariencia, BAV2ROPC usa puntos de conexión modernos y flujos OAuth 2. Pero, por debajo, se basa en el mismo intercambio básico de nombre de usuario y contraseña que protocolos heredados como POP3, IMAP o SMTP AUTH, y rara vez admite MFA o acceso condicional. Esto deja la puerta abierta a los atacantes para realizar ataques de relleno de contraseñas, reproducción de credenciales o retransmisión desde entornos locales a la nube.

La detección es complicada. En los registros, el tráfico de BAV2ROPC es difícil de distinguir de la autenticación moderna real. Los atacantes lo saben y atacan deliberadamente aplicaciones o cuentas de servicio que usan estos flujos, ya que los intentos de intrusión no activan las mismas alarmas que la autenticación básica tradicional. En la práctica, a las organizaciones les resulta difícil migrar desde BAV2ROPC, sobre todo en los trabajos de automatización sin interfaz y los scripts de integración que todavía se usan en las operaciones diarias.

Para los equipos de seguridad, el mayor error es asumir que cualquier cosa etiquetada como "OAuth 2" o "resource owner" es segura por defecto. BAV2ROPC y protocolos similares ponen de manifiesto la cruda realidad: incluso las API modernas y pulidas pueden exponerte a las mismas debilidades que los protocolos que pretendían reemplazar. Mientras no audites y migres por completo cada caso límite, estos agujeros semimodernos seguirán siendo objetivos abiertos.

Cuando las mejoras en autenticación no bastan: la muerte de la estrategia de seguridad por el soporte a sistemas heredados

Migrar a OAuth 2 y desplegar MFA en toda la organización suena a la solución perfecta, hasta que el soporte para sistemas heredados introduce un fallo fatal. Las investigaciones muestran que más del 60 % de las tomas de control de cuentas en la nube del último año implicaron credenciales válidas usadas a través de protocolos heredados. Incluso las directivas de acceso condicional más avanzadas se vienen abajo si hay una exclusión pasada por alto o una aplicación antigua que sigue usando autenticación básica por detrás.

Los expertos advierten que modernizar tu pila de autenticación no consiste solo en marcar casillas de una lista de funciones. El soporte persistente para sistemas heredados, las directivas mal configuradas o las cuentas de servicio sin gestionar permiten a los atacantes rodear unas defensas que, por lo demás, serían sólidas. Un plan de transición completo, que retire activamente las vías antiguas, audite las exclusiones de directivas y gobierne cada punto de conexión, es la única forma de mantenerse al día. Para ver un caso real de cómo los atacantes explotan el consentimiento de OAuth y las vías heredadas, lee este análisis detallado sobre los ataques de consentimiento en Entra ID y comprueba por qué la buena gobernanza no es automática en este podcast sobre la ilusión de gobernanza en Microsoft 365.

Detección y monitorización del uso de protocolos heredados en entornos empresariales

Localizar y monitorizar la autenticación heredada es como buscar fugas ocultas en un sistema de tuberías enorme. Es fácil pasar por alto el uso de protocolos heredados, porque estas conexiones no siempre aparecen en primer plano en los paneles modernos. Sin embargo, cualquier caso que se escape, ya sea un script de copia de seguridad antiguo, una impresora o un sensor IoT, le da al atacante una oportunidad más para entrar.

Para abordar esto, los entornos de Microsoft 365 y Azure ofrecen una serie de registros y herramientas analíticas diseñadas para una visibilidad profunda. Pero necesitas saber dónde buscar e interpretar resultados que no siempre gritan "aquí hay autenticación heredada". Combinando los registros de inicio de sesión, las pistas de auditoría y la telemetría personalizada de herramientas como PowerShell y Python, obtienes una imagen más completa de dónde se cuelan los protocolos antiguos. Cruzar datos de recursos en la nube y locales es fundamental, ya que las configuraciones híbridas suelen tener informes incoherentes.

¿Qué hace este desafío aún más complicado? Algunos dispositivos de terceros y de tecnología operativa (OT) siguen usando protocolos heredados de forma silenciosa y rara vez se incluyen en los análisis de seguridad estándar ni en los informes analíticos. Los equipos de seguridad deben combinar varias técnicas de monitorización, desde los libros de Azure sobre inicios de sesión hasta las extracciones del registro de auditoría unificado, para detectar hasta el último rastro de uso de protocolos. Para un desglose práctico sobre la auditoría de la actividad en tu inquilino y por qué las señales más detalladas importan para el cumplimiento y la seguridad, consulta esta guía sobre Microsoft Purview Audit.

Los siguientes apartados te explicarán exactamente cómo detectar e investigar los rastros de autenticación heredada en tu entorno, junto con consejos prácticos para generar telemetría útil y procesable, para que estas vulnerabilidades ocultas no permanezcan ocultas por mucho tiempo.

Detección de autenticación heredada en los registros de inicio de sesión de Azure y en los libros de análisis

Detectar la autenticación heredada en los registros de inicio de sesión de Azure y en los análisis de Entra ID requiere un enfoque proactivo. Esta es una lista de comprobación práctica para localizar esos protocolos arriesgados en acción:

1. Filtrar por tipo de aplicación cliente:
2. Empieza por los registros de inicio de sesión de Azure AD en el portal de Azure. Filtra las entradas por "Client App" para mostrar las conexiones realizadas con protocolos heredados como IMAP, POP3, SMTP y "Other clients". Estas entradas suelen destacar porque no usan flujos de autenticación basados en navegador ni autenticación moderna.
3. Buscar métodos de autenticación:
4. Profundiza en los eventos de inicio de sesión con "Authentication Method" establecido en "Password" pero sin "MFA" ni "Modern Auth". Esto suele indicar protocolos que eluden el acceso condicional, especialmente desde dispositivos antiguos o scripts de automatización.
5. Configurar libros de análisis:
6. Usa Azure Monitor o los libros de Entra ID Analytics para visualizar tendencias a lo largo del tiempo. Crea un libro personalizado para representar gráficamente el uso de protocolos, resaltar los picos de autenticación heredada y marcar las conexiones de cliente que no cumplen las directivas.
7. Correlaciona con datos de dispositivos y ubicación:
8. Cruza los eventos de autenticación heredada con la información de los dispositivos y la geolocalización de los inicios de sesión. Las combinaciones inesperadas, como un inicio de sesión con un protocolo heredado desde un país en el que tu empresa no opera, merecen un análisis detallado.
9. Consejos para la resolución de problemas:
10. Si los resultados parecen escasos, revisa si hay lagunas en las directivas o en la retención de registros. Algunos eventos pueden quedar filtrados o no registrarse si la configuración de auditoría no es completa o si hay exclusiones en las directivas de acceso condicional.

Al repetir estos pasos, obtienes una visibilidad fiable. Recuerda que incluso unas pocas entradas de protocolos heredados en tus registros pueden indicar riesgos mayores en otros lugares, así que profundiza y sigue los datos allá donde te lleven.

Generación de telemetría con PowerShell, Python y registros de auditoría unificados: ejemplos y procedimientos recomendados

Para detectar cualquier rastro de actividad de protocolos heredados, nada supera a la telemetría personalizada. Así es como puedes configurarla con PowerShell, Python y el registro de auditoría unificado de Microsoft:

1. Consultas de PowerShell para protocolos heredados:
2. Usa los cmdlets Get-Mailbox y Get-CASMailbox de Exchange Online para listar los usuarios con IMAP, POP3 o SMTP AUTH habilitados. Encapsúlalos en scripts para generar informes diarios o semanales, y cruza los resultados con la información de los registros de inicio de sesión.
3. Automatización con Python para la correlación de registros:
4. Usa scripts de Python para conectarte a la API de Microsoft Graph y extraer los registros de inicio de sesión y de auditoría de buzones. Analiza los tipos de aplicación cliente y las marcas de protocolo de autenticación, y genera después las anomalías, como las cuentas de servicio sin interfaz que usan autenticación heredada.
5. Registro de auditoría unificado para la supervisión centralizada:
6. Habilita Microsoft Purview Audit (antes Unified Audit Log) para agregar la actividad de Exchange, SharePoint, Teams y otros servicios. Consulta los campos Operation relacionados con conexiones de clientes heredados o con intentos fallidos de autenticación heredada para crear una canalización de detección consolidada.
7. Implementa visualizaciones interactivas y alertas:
8. Exporta la telemetría o envíala en tiempo real a Microsoft Sentinel o Power BI. Crea paneles con reglas de alerta que se activen ante un nuevo uso de protocolos heredados o cuando se detecten exposiciones de credenciales.
9. Cuidado con los errores habituales:
10. Desconfía de los datos incompletos debidos a una retención limitada de registros, a lagunas en la configuración predeterminada o a eventos que no se registran de forma predeterminada. Valida siempre la cobertura con inicios de sesión de prueba que usen protocolos heredados antes de dar el asunto por resuelto.

Para saber más sobre cómo integrar la telemetría en la gobernanza y la automatización (cuando el contenido vuelva a estar disponible), está atento a las actualizaciones de esta página sobre automatización de PowerShell que ahora no está disponible, o consulta sus episodios recientes del podcast sobre arquitectura empresarial para ver qué viene en las estrategias de telemetría.

Estrategias de mitigación: bloqueo y desactivación de protocolos heredados

Saber que tienes protocolos heredados en funcionamiento es solo la primera batalla; ganarla implica cerrar esos canales sin afectar al negocio. El enfoque correcto consiste en equilibrar la reducción de riesgos y la continuidad operativa. Microsoft 365 y Azure AD te ofrecen herramientas potentes, como el acceso condicional y los conmutadores de administración, para bloquear métodos de autenticación obsoletos a escala empresarial, pero debes implementarlas con cuidado.

Las dos tácticas principales son: usar el acceso condicional para bloquear la autenticación heredada en todos los casos, y desactivar protocolos como SMTP AUTH, IMAP y POP3 para el acceso a correo y dispositivos. El reto está en identificar todas las excepciones y los flujos de trabajo afectados antes de desconectarlo todo, sobre todo en cuentas de servicio, sistemas de correo locales híbridos o integraciones de terceros que no se pueden modernizar fácilmente. Las implantaciones por fases y las actualizaciones de directivas específicas ayudan a asegurar que no se rompan procesos críticos mientras se reduce la exposición al robo de credenciales y al abuso de spam.

También es fundamental combinar los cambios de directiva con la concienciación de la empresa. Comunícate con las partes interesadas, prueba los cambios en grupos pequeños y aprovecha la analítica para demostrar que el cambio no va a paralizar las operaciones. En las secciones siguientes encontrarás instrucciones paso a paso y consideraciones tanto para la aplicación de Acceso condicional como para la desactivación de protocolos en el Centro de administración de Microsoft 365. ¿Tienes curiosidad por los riesgos ocultos que surgen cuando no se miden los hábitos de trabajo? Consulta este podcast sobre la deriva de cumplimiento y la aplicación de directivas para ampliar la información.

Con el plan adecuado, bloquear los protocolos heredados no solo marcará las casillas de cumplimiento: también te pondrá mucho más difícil que los atacantes encuentren esa puerta abierta que nadie recuerda.

Cómo bloquear la autenticación heredada con Acceso condicional

Bloquear la autenticación heredada con el Acceso condicional de Azure AD es tan potente como preciso, siempre que se haga bien. Esto es lo que necesitas saber:

Las directivas de Acceso condicional permiten a las organizaciones bloquear de forma explícita los intentos de autenticación de protocolos antiguos como SMTP AUTH, IMAP, POP3 y los clientes de autenticación básica. Puedes aplicar estas directivas a usuarios, grupos o dispositivos, y supervisar el posible impacto en el negocio en modo de «solo informe» antes de activarlas. Este enfoque por fases te permite identificar las dependencias que podrían fallar si el bloqueo se aplica de golpe.

Microsoft recomienda crear al menos dos directivas básicas: una que bloquee la autenticación heredada para todos los usuarios y otra con exclusiones con límite de tiempo para cuentas de servicio o excepciones conocidas. Las pruebas son fundamentales: empieza en modo de supervisión para observar qué cuentas y aplicaciones intentan iniciar sesión con protocolos heredados y, después, pasa a modo de aplicación cuando tengas la certeza de que solo se verán afectados flujos no esenciales.

Revisa y reduce las entradas de listas de permitidos amplias o las excepciones heredadas, ya que crean brechas de seguridad invisibles. La supervisión continua y las alertas sobre los intentos de autenticación heredada ayudarán a detectar nuevos riesgos a medida que cambie tu entorno de TI. Para más buenas prácticas y una base sólida de directivas inclusivas, consulta la opinión de este experto sobre cómo ajustar el Acceso condicional para una gestión de acceso predecible y segura.

En resumen: endurecer el Acceso condicional es tu primera línea de defensa. Eso sí, aplica los cambios de forma metódica y siempre equilibrando las necesidades del negocio con los objetivos de seguridad.

Desactivar SMTP AUTH y los protocolos de correo heredados en el Centro de administración de Microsoft 365

Desactivar SMTP AUTH y otros protocolos de correo heredados es una de las formas más rápidas de reducir el robo de credenciales e impedir que los atacantes envíen spam a través de tu inquilino. Así se hace paso a paso:

1. Auditar el uso actual:
2. Empieza con PowerShell de Exchange Online (Get-TransportConfig y Get-Mailbox). Identifica los buzones con SMTP AUTH habilitado y los protocolos heredados IMAP/POP3 que sigan activos para usuarios o cuentas de servicio.
3. Desactivar a nivel de inquilino:
4. El Centro de administración de Microsoft 365 permite ahora desactivar SMTP AUTH para todo el inquilino con una única configuración. Esto bloquea todos los nuevos intentos de autenticación, salvo que se creen excepciones para buzones específicos.
5. Limpieza de directivas específicas:
6. Para los usuarios o aplicaciones que realmente necesiten SMTP AUTH, restringe el acceso de forma explícita y supervísalo de cerca. Elimina los permisos de IMAP/POP3 de todas las cuentas salvo las más esenciales; lo ideal es que no quede ninguna.
7. Probar y comunicar:
8. Antes de desactivarlo a gran escala, ejecuta casos de prueba e informa a los usuarios o a los responsables de los sistemas. Vigila los tickets de soporte relacionados con automatizaciones que dejen de funcionar y, después, trabaja con esos equipos para actualizar sus procesos o migrarlos a la autenticación moderna.
9. Supervisar después de la implantación:
10. Revisa los registros de auditoría por si hay intentos fallidos de protocolos heredados. Los fallos persistentes pueden indicar intentos de ataque o dependencias de negocio no detectadas que tendrás que resolver.

Este plan detiene la mayoría de los ataques de credenciales basados en correo más habituales y deja al equipo de cumplimiento mucho más tranquilo. Los controles sólidos desde el principio suponen menos trabajo de limpieza más adelante.

Gobernanza de seguridad y supervisión estratégica del riesgo de protocolos heredados

Bloquear los protocolos heredados no consiste solo en cambiar ajustes técnicos. La gestión real del riesgo se produce en la cúpula, donde la dirección ejecutiva, las operaciones de seguridad y los arquitectos de TI trabajan juntos para gobernar el ciclo de vida tanto de la tecnología como de las directivas. El problema es que la mayoría de las grandes organizaciones dependen de un conjunto heterogéneo de controles, directivas y proveedores externos, lo que dificulta mantener una supervisión coherente a escala.

Una estrategia de gobierno inteligente aborda preguntas de fondo: ¿Cómo gestionas el riesgo cuando las integraciones de terceros, las herramientas agénticas y la TI en la sombra se rigen por reglas distintas? ¿Cómo aplicas controles uniformes cuando la mitad de tus socios o dispositivos IoT «de confianza» ni siquiera pueden utilizar autenticación moderna? Y ¿cómo supervisas de forma continua la desviación de las directivas a medida que evolucionan el negocio, la plantilla y el panorama de seguridad?

Aquí es donde entran en juego los marcos de gobierno virtuales, la disciplina en las directivas y la inteligencia avanzada. La dirección no solo debe marcar el tono desde lo más alto, sino también implantar comprobaciones reales: desde evaluar a los proveedores de servicios con mayor riesgo hasta realizar auditorías y desplegar automatización para la detección y la corrección. A medida que la IA y la automatización avanzan más rápido que nunca, se trata de que herramientas, directivas y personas remen en la misma dirección.

En las siguientes secciones veremos formas eficaces en que los CISO y los responsables de decisiones pueden construir modelos de gobierno «remote-first», gestionar los riesgos de terceros y agénticos más imprevisibles, y aprovechar la inteligencia moderna para cerrar de una vez por todas las brechas de los protocolos. Si quieres saber más sobre cómo equilibrar la innovación con la supervisión, consulta estos consejos sobre gobierno de Power Platform, y descubre cómo mantenerte al día cuando las automatizaciones y los agentes avanzan más rápido que tus directivas en este episodio sobre un marco práctico de gobierno.

Cómo los responsables de seguridad protegen a la organización frente a los terceros de mayor riesgo en un marco de gobierno virtual

Las organizaciones líderes adoptan un enfoque por capas y proactivo para gobernar el riesgo de los protocolos heredados, sobre todo el que procede de terceros. Estas son cuatro estrategias prácticas:

• Implanta una supervisión agéntica: supervisa y audita todas las cuentas de servicio, agentes e integraciones de terceros que interactúan con tu entorno. Utiliza identidades únicas (como los Entra Agent ID) para los agentes y aplica contratos estrictos a través de plataformas como Microsoft Connector Platform (MCP). Esto ayuda a evitar la desviación de identidades y la pérdida de responsabilidad, especialmente en integraciones impulsadas por IA (más información sobre el gobierno agéntico aquí).
• Aplica directivas de autenticación segura: exige a todos los proveedores y socios que utilicen autenticación moderna, sin excepciones por «compatibilidad con sistemas heredados» salvo que existan controles compensatorios aprobados. Revisa periódicamente las exclusiones de acceso condicional para los dispositivos de terceros y los flujos basados en conectores.
• Segrega y supervisa los dispositivos OT/IoT y los que no pueden parchearse: cuando tengas tecnología operativa o dispositivos IoT limitados a protocolos heredados, sepáralos en redes aisladas. Aplica controles compensatorios, como la supervisión de red y la lista blanca de accesos, para reducir la exposición a amenazas de movimiento lateral.
• Realiza revisiones de gobierno remotas y virtuales: adopta marcos de gobierno virtuales para supervisar, corregir y gobernar desde cualquier lugar. Estos marcos se basan en revisiones periódicas, auditorías automatizadas y una comunicación clara entre las partes interesadas, algo esencial a medida que más operaciones se vuelven híbridas o remotas.

Gracias a una supervisión por capas, y no solo a los controles técnicos, los CISO y los responsables de TI pueden mitigar los riesgos de los rincones más inaccesibles de su ecosistema.

Aprovecha la inteligencia avanzada para reforzar las operaciones de seguridad frente a las amenazas heredadas

Las herramientas de inteligencia impulsadas por IA y la analítica avanzada de amenazas ofrecen a las organizaciones una ventaja nueva para detectar, investigar y responder al abuso de protocolos heredados a escala. Estas plataformas utilizan aprendizaje automático para identificar comportamientos de autenticación anómalos, filtrar con rapidez el uso sospechoso de protocolos heredados y corregir amenazas automáticamente, sin demoras humanas.

Los equipos modernos de operaciones de seguridad integran datos de Microsoft Sentinel, Purview Audit y analítica de comportamiento basada en IA para construir una vista centralizada de la actividad de autenticación, tanto moderna como heredada. Los playbooks automatizados pueden activar respuestas ante excepciones de directivas, cuentas de servicio de alto riesgo o eventos de retransmisión de credenciales, cerrando las brechas antes de que los atacantes puedan explotarlas.

Integrar automatización y analítica es imprescindible, no opcional. Las plataformas de orquestación ayudan a unificar datos de entornos en la nube, locales e híbridos, y garantizan que incluso los flujos de autenticación heredados menos visibles no pasen desapercibidos. Esto es doblemente crítico a medida que proliferan los agentes de IA y las automatizaciones a gran escala, lo que aumenta tanto los beneficios como los riesgos operativos.

Por último, aplicar el acceso con privilegios mínimos, etiquetar el contenido confidencial y ampliar la supervisión de auditoría ayuda a controlar tanto a los usuarios humanos como a los automatizados. Para una guía práctica sobre cómo usar la analítica avanzada y la IA para mantener a raya las amenazas heredadas en entornos de Microsoft, incluidos Copilot y los bots de terceros, consulta esta guía detallada sobre IA gobernada y cumplimiento.