Cuenta Microsoft 365 comprometida: qué revisar antes de darla por recuperada
Por Carlos Isidoro De Ayala Diaz ·
Cuenta Microsoft 365 comprometida: cómo contener accesos, conservar evidencias y revisar sesiones, MFA, reglas de correo y aplicaciones antes de cerrarla.
Confirma la señal y construye una cronología antes de perder contexto
Una contraseña cambiada no demuestra que una cuenta Microsoft 365 esté recuperada. El acceso inicial pudo dejar sesiones activas, un método MFA añadido, reglas de correo, permisos delegados o una aplicación autorizada para volver a entrar. La respuesta empieza tratando la alerta como una hipótesis que debe delimitarse. Se identifica quién avisó, qué conducta observó, cuándo apareció y qué servicios utiliza la identidad: correo, Teams, SharePoint, OneDrive, aplicaciones empresariales y funciones administrativas.
Las primeras acciones combinan contención y preservación. Si el acceso sigue activo o existe riesgo de fraude, se bloquea la cuenta sin esperar a terminar el análisis. Al mismo tiempo se anotan hora, zona horaria, responsable, alerta original, IP, dispositivo, método de autenticación y cambios visibles. Capturar contexto no significa retrasar una medida urgente. Significa poder explicar después qué se observó antes de modificar contraseñas, sesiones, reglas o permisos.
Se recopilan los registros disponibles para un intervalo que empiece antes del primer indicio y termine después de la contención. Los inicios de sesión permiten revisar resultado, ubicación aproximada, cliente, dispositivo, aplicación y condiciones aplicadas. El registro de auditoría aporta operaciones sobre buzón, archivos, permisos y configuración. La traza de mensajes ayuda a entender envíos y reenvíos. La disponibilidad y retención concretas dependen de licencia y configuración; no se promete una evidencia que el servicio no conservó.
Una ubicación desconocida o un viaje imposible son señales, no una sentencia aislada. Las redes móviles, VPN y salidas compartidas pueden alterar la geolocalización. La conclusión combina la hora, el dispositivo, el método, la aplicación, el patrón habitual y las acciones posteriores. También se pregunta al usuario por avisos de MFA, cambios solicitados y mensajes enviados, evitando que investigue desde un equipo que podría seguir comprometido. La cronología separa hechos confirmados, inferencias y huecos de información.
Corta el acceso y elimina vías de persistencia
Microsoft recomienda deshabilitar temporalmente la cuenta afectada durante la investigación cuando sea posible. También se revocan las sesiones activas y los tokens de actualización; cambiar la contraseña por sí solo puede no invalidar todo acceso existente de inmediato. Si la identidad está sincronizada o federada, el cambio se realiza en la fuente que corresponda. La nueva credencial se comunica por un canal distinto al buzón comprometido y no se reutiliza una contraseña anterior.
Los métodos de autenticación necesitan una revisión propia. Se comprueban teléfonos, aplicaciones autenticadoras, claves de seguridad, passkeys y dispositivos registrados, retirando solo los elementos no reconocidos tras guardar la evidencia necesaria. También se revisan roles administrativos y membresías sensibles. Si la cuenta tenía privilegios, el alcance se amplía a cambios realizados sobre otras identidades, aplicaciones o políticas. Restablecer MFA sin mirar los métodos añadidos puede conservar una puerta creada por el atacante.
El correo ofrece mecanismos de persistencia discretos. Se revisan el reenvío configurado en el buzón, todas las reglas de bandeja de entrada incluidas las ocultas, delegaciones, permisos de envío y respuestas automáticas. Microsoft cita como indicios las reglas que reenvían a direcciones desconocidas, mueven mensajes a carpetas poco visibles o eliminan comunicaciones. Quitar una regla sospechosa no cierra el caso: se consulta cuándo se creó, qué mensajes pudo afectar y qué otra actividad realizó la misma sesión.
Las aplicaciones con consentimiento del usuario o del administrador también pueden mantener acceso mediante OAuth. Se examinan concesiones recientes, permisos solicitados, credenciales, propietarios y actividad. Una aplicación conocida puede haber recibido un permiso nuevo, y una aplicación desconocida puede usar un nombre parecido al de un proveedor. Revocar el consentimiento se coordina con el análisis para no destruir contexto ni interrumpir una integración legítima sin entenderla. El inventario deja constancia de qué se retiró y por qué.
Determina qué hizo la cuenta y a quién pudo afectar
La investigación no se limita al inicio de sesión. Se revisan mensajes enviados, eliminados o reenviados; búsquedas y accesos al buzón cuando el registro disponible lo permita; descargas o cambios en OneDrive y SharePoint; participación en Teams; creación de reglas; modificaciones de identidad y uso de aplicaciones. El objetivo es relacionar acciones con la cronología y distinguir actividad legítima de la realizada por un tercero. Los datos sensibles se minimizan y el acceso a la evidencia queda restringido.
En un posible fraude del correo empresarial se buscan conversaciones sobre pagos, facturas, cambios de cuenta bancaria, nóminas, proveedores o datos personales. El atacante puede observar un hilo y responder en el momento oportuno, borrar la copia enviada o usar una firma parecida. La empresa necesita identificar destinatarios y decisiones afectadas sin enviar una alerta genérica a toda la agenda. Finanzas, dirección, protección de datos y asesoramiento jurídico intervienen según los hechos, no por una fórmula automática.
También se buscan cuentas relacionadas. Una campaña puede haber enviado phishing interno desde el buzón comprometido, usado la misma IP o aplicación, o generado solicitudes de MFA a varias personas. Se revisan destinatarios que abrieron enlaces, introdujeron credenciales o aprobaron avisos. Esto no implica declarar comprometida a toda la organización; permite priorizar comprobaciones basadas en evidencia. Los indicadores técnicos se contrastan con contexto porque una dirección compartida o un cliente común puede tener usos legítimos.
La comunicación externa necesita control. Si salieron mensajes fraudulentos, se prepara un aviso claro desde un canal seguro, con el asunto afectado, la acción que no debe realizarse y una vía para confirmar instrucciones. No se incluyen detalles que faciliten nuevos engaños ni se oculta la incertidumbre. Las obligaciones de notificación dependen del tipo de datos, impacto, sector y contrato; una revisión técnica aporta hechos y tiempos, pero no sustituye la decisión jurídica o regulatoria.
Restaura el acceso con criterios de cierre y vigilancia posterior
La cuenta se reactiva cuando la organización ha retirado las vías de acceso no autorizadas, asegurado el dispositivo y revisado el alcance suficiente para operar. El usuario configura métodos MFA legítimos desde un equipo confiable y comprueba sus aplicaciones. Si se detectó robo mediante phishing, se valora un método resistente al phishing y se corrige el control que permitió el acceso. No se obliga a volver al trabajo mientras reglas, permisos o aplicaciones sospechosas sigan sin resolver.
El cierre incluye pruebas observables: contraseña cambiada en la fuente correcta, sesiones revocadas, métodos MFA validados, roles revisados, reglas y reenvíos comprobados, consentimientos examinados, dispositivos tratados y actividad posterior sin nuevas señales. Se documentan las limitaciones de los registros y las acciones no verificables. Un periodo de vigilancia sigue los inicios de sesión, alertas, reenvíos y comunicaciones asociadas; su duración depende del caso y no se presenta como garantía de ausencia de actividad futura.
Después se corrigen causas y capacidad de respuesta. Puede ser necesario ajustar acceso condicional, formación, protección del correo, permisos de aplicaciones, retención de auditoría o canales de aviso. NIST SP 800-61 Rev. 3 integra la respuesta a incidentes en la gestión del riesgo y recomienda aprender de la actividad para mejorar preparación, detección y recuperación. La revisión posterior asigna responsables y fechas, evitando convertir cada recomendación en una lista sin seguimiento.
Élite Solutions Tech puede ayudar desde Murcia a ordenar una revisión autorizada de exposición, cronología, persistencia y medidas de recuperación para empresas regionales y proyectos nacionales. La propuesta especifica cuentas, servicios, fuentes, accesos, entregables y límites. No sustituye un servicio de emergencia permanente, una investigación forense judicial ni asesoramiento legal. Para una primera valoración puedes describir en contacto la alerta, la hora aproximada y los servicios afectados, sin adjuntar credenciales ni correos sensibles.