Protección contra ransomware de Microsoft 365

ransomwarerestosuna de las mayores amenazas para los entornos de Microsoft 365. Los correos electrónicos de phishing y los enlaces maliciosos siguen siendo los puntos de entrada más habituales, lo que permite a los atacantes acceder a las credenciales de los usuarios y cifrar archivos de SharePoint, contenido de OneDrive y buzones de correo de Exchange.

Microsoft ofrece funciones como la Papelera de reciclaje, el historial de versiones y las políticas de retención básicas. Estas son útiles en determinados casos, pero no permiten una recuperación completa de datos a gran escala. Además, las herramientas nativas carecen de automatización, y la restauración de grandes volúmenes de datos puede llevar días debido a los límites de limitación de ancho de banda de la API.
Segúninvestigación industrial, El 80 % de las organizaciones sufrió ataques de ransomware en 2024, y el 93 % de esos ataques tuvo como objetivo las copias de seguridad. Las operaciones críticas de la empresa pueden retrasarse o detenerse por completo.

Una estrategia de copias de seguridad gestionadas proporciona a los equipos de TI el control que necesitan para reaccionar con rapidez y limitar los daños.

Hay varios pasos sencillos que puede seguir para evaluar las vulnerabilidades de su entorno. Debe:

1. Auditar los puntos de acceso: Identificar cómo acceden los usuarios a los servicios de M365, incluyendo navegadores, dispositivos móviles e integraciones de terceros. Prestar especial atención al acceso de invitados y a los métodos de autenticación heredados.
2. Analizar los resultados de las pruebas de phishing: utiliza los resultados de las simulaciones internas de phishing para evaluar el riesgo de los usuarios. Las tasas de clics elevadas pueden poner de manifiesto puntos débiles en la concienciación de los usuarios o en el nivel de seguridad.
3. Comprueba la configuración de retención: revisa las políticas de retención en Exchange, OneDrive y SharePoint. Adáptalas a los requisitos legales y operativos.
4. Simula una restauración: realiza una prueba de Recovery para comprobar qué datos puedes recuperar, cuánto tiempo lleva y dónde hay lagunas. Esto te ayudará a validar tu plan de recuperación.
5. Evalúa las limitaciones de la API: los límites de la API de Microsoft Graph pueden ralentizar las restauraciones de gran volumen. Comprende cómo afectan estos límites a tu tiempo de Recovery.

Una estrategia específica de Backup and Recovery para M365 ayuda a cubrir las lagunas que dejan las protecciones nativas. Ofrece a las organizaciones un mayor control sobre sus datos, mejora el tiempo de Recovery y facilita la conservación a largo plazo y el cumplimiento normativo.

A continuación se indican algunas medidas que puede tomar para ayudar a proteger su entorno de M365:

1. Activa la autenticación de dos factores (MFA) para todos los usuarios.
   Utiliza Entra ID para exigir la autenticación multifactorial en todas las cuentas, incluidas las de administrador y las cuentas de servicio. Crea directivas de acceso condicional para aplicar este requisito en toda la organización.
2. Configura los enlaces seguros y los archivos adjuntos seguros.
   En Microsoft Defender para Office 365, active «Enlaces seguros» para analizar y reescribir las URL. Active «Archivos adjuntos seguros» para analizar los archivos en un entorno aislado antes de su entrega.
3. Restringir los roles de administrador global.
   Revisa las asignaciones de funciones de administrador en Entra ID. Aplica los principios de privilegios mínimos y habilita el acceso «justo a tiempo» a través de Privileged Identity Management para tareas confidenciales.
4. Configurar políticas de acceso condicional.
   Exija el uso de dispositivos de confianza, bloquee la autenticación heredada y aplique restricciones basadas en la ubicación. Estas políticas ayudan a controlar el acceso en función del riesgo en tiempo real.
5. Utiliza únicamente métodos de autenticación modernos.
   Desactive los protocolos heredados como POP e IMAP. Estos son vulnerables a los ataques de «password spraying» y no admiten la autenticación multifactorial (MFA).
6. Supervisa los registros de acceso y de inicio de sesión.
   Revisa periódicamente los registros en el Centro de seguridad y cumplimiento de Microsoft 365. Busca patrones como intentos fallidos de inicio de sesión, direcciones IP inusuales o actividad anómala en los archivos.

Reducir el riesgo de ransomware en Microsoft 365 requiere algo más que una simple copia de seguridad. Una vez dentro, los atacantes suelen desplazarse lateralmente y dirigirse a los datos compartidos y a las cuentas con privilegios. Segmentar las cargas de trabajo por función y nivel de confidencialidad ayuda a contener el impacto y limita el acceso a los sistemas críticos para el negocio.

La segmentación de la red ayuda a aislar los datos de alto valor —como los financieros, de RR. HH. o jurídicos— del tráfico general de los usuarios. Este enfoque contribuye a reducir la probabilidad de que el malware se propague más allá del punto inicial de compromiso.

Las herramientas avanzadas de protección contra amenazas ayudan a detectar comportamientos sospechosos de forma temprana mediante el análisis de la actividad de inicio de sesión, el acceso a archivos y el comportamiento de los usuarios. Estas herramientas se basan en la inteligencia sobre amenazas y la detección de anomalías para identificar indicios de compromiso que los filtros y reglas estándar podrían pasar por alto.

1. Revisa los registros de inicio de sesión de Entra ID.
   Filtrar los intentos fallidos de inicio de sesión, las direcciones IP desconocidas y los dispositivos desconocidos. Buscar patrones que puedan indicar ataques de fuerza bruta o de relleno de credenciales.
2. Realizar una auditoría de los roles con privilegios.
   Elabore una lista de todas las cuentas con permisos de administrador global o de alto nivel. Elimine cualquier asignación innecesaria y configure el acceso «justo a tiempo» para tareas confidenciales.
3. Comprueba las políticas de acceso condicional.
   Confirme que existen políticas que exijan la autenticación multifactorial (MFA), bloqueen los protocolos heredados y restrinjan el acceso en función de la ubicación o del cumplimiento de los requisitos del dispositivo.
4. Comprueba la configuración de uso compartido de SharePoint y OneDrive.
   Identifica cualquier archivo o carpeta compartida mediante enlaces anónimos o con usuarios externos. Elimina los accesos que ya no sean necesarios.
5. Revisa las reglas del buzón y la configuración de reenvío.
   Busque reglas que reenvíen correos electrónicos al exterior o eliminen mensajes automáticamente. Esto puede ser indicativo de una apropiación de cuenta.
6. Probar las políticas de prevención de pérdida de datos.
   Simula acciones que deberían activar las protecciones de DLP y verifica que se generen alertas. Confirma que las medidas de aplicación funcionan tal y como están configuradas.
7. Documentar los resultados y asignar las medidas de seguimiento.
   Realiza un seguimiento de los problemas identificados, asigna responsables y establece plazos claros. Esto ayuda a mantener la responsabilidad entre los equipos y favorece la mejora continua.

Yedioth Information Technologies (yit),Una editorial líder se enfrentaba a dificultades a la hora de proteger su entorno de Microsoft 365, en constante crecimiento. Con 1.000 buzones de correo que proteger y planes de ampliar esta cifra a 1.500, la empresa necesitaba una solución que pudiera adaptarse a su crecimiento y que, al mismo tiempo, cumpliera los estrictos requisitos de conservación de datos propios de su actividad editorial.

Tras utilizar con éxito Commvault para la protección en las propias instalaciones, yit implementó Commvault Cloud Backup and Recovery para Microsoft 365. La implementación resultó extraordinariamente eficiente: tan solo tres horas después de la instalación, el equipo ya había comenzado a realizar copias de seguridad de los buzones de correo.

«Disponer de una solución de gestión de datos como servicio que sea fiable y flexible, y que pueda dar soporte a nuestro negocio editorial, es fundamental», afirmó Eytan Molle, responsable de sistemas de yit. «Commvault Cloud Backup and Recovery para Microsoft 365 es seguro, fiable y práctico. Podemos recuperar datos fácilmente y sin ningún problema».

Los resultados fueron transformadores. Antes de implementar la solución, la recuperación de contenido archivado podía llevar días y, a menudo, requería localizar y transportar cintas físicas desde un almacén. Este proceso resultaba especialmente complicado cuando los editores necesitaban acceder a artículos publicados hacía años.

«Ahora, con Commvault Cloud Backup and Recovery para Microsoft 365, podemos recuperar por completo los datos de Office 365 en solo unos minutos, en lugar de días», explicó Molle.

La solución también redujo los gastos operativos. En lugar de necesitar a dos empleados para gestionar las copias de seguridad, ahora solo se necesita una persona. Se eliminó el trabajo durante los fines de semana y el equipo ganó tranquilidad al saber que sus datos estaban protegidos contra las amenazas de ransomware, tanto en las instalaciones como en la nube.

Gracias a un panel de control integrado, el personal de TI puede supervisar fácilmente tanto las copias de seguridad instaladas como las de la nube desde una única interfaz, lo que simplifica la gestión y ayuda a mantener la continuidad del negocio.
«Recomendaría Commvault y Commvault Cloud Backup and Recovery for Microsoft 365 sin ninguna duda», afirmó Molle. «Puedes olvidarte de las copias de seguridad y dormir mejor por las noches».