Protección contra el ransomware de Microsoft 365

El ransomware sigue siendo una de las mayores amenazas para los entornos de Microsoft 365. Los correos electrónicos de phishing y los enlaces maliciosos continúan siendo las vías de entrada más comunes, lo que permite a los atacantes acceder a las credenciales de los usuarios y cifrar archivos de SharePoint, contenido de OneDrive y buzones de Exchange.

Microsoft ofrece Features como la Papelera de reciclaje, el historial de versiones y las políticas de retención básicas. Estas son útiles en determinados casos, pero no permiten una recuperación completa de los datos a gran escala. Las herramientas nativas también carecen de automatización, y la restauración de grandes volúmenes de datos puede llevar días debido a las restricciones de la API.
Según estudios del sector, el 80 % de las organizaciones sufrieron ataques de ransomware en 2024, y el 93 % de esos ataques tuvieron como objetivo las copias de seguridad. Las operaciones críticas de la empresa pueden retrasarse o detenerse por completo.

Una estrategia de copias de seguridad gestionadas proporciona a los equipos de TI el control que necesitan para responder rápidamente y limitar los daños.

Hay varios pasos sencillos que puede seguir para evaluar las vulnerabilidades de su entorno. Debe:

1. Auditar los puntos de acceso: identifica cómo acceden los usuarios a los servicios de M365, incluidos navegadores, dispositivos móviles e integraciones de terceros. Presta especial atención al acceso de invitados y a los métodos de autenticación heredados.
2. Revisar los resultados de las pruebas de phishing: Utilice los resultados de las simulaciones internas de phishing para evaluar el riesgo de los usuarios. Unas tasas de clics elevadas pueden poner de manifiesto puntos débiles en la concienciación de los usuarios o en la postura de seguridad.
3. Comprobar la configuración de retención: Revisa las políticas de retención en Exchange, OneDrive y SharePoint. Adáptalas a los requisitos legales y operativos.
4. Simular una restauración: Realice una prueba de Recovery para ver qué datos se pueden recuperar, cuánto tiempo lleva y dónde existen lagunas. Esto ayuda a validar su plan de recuperación.
5. Evalúa las limitaciones de la API: Los límites de la API de Microsoft Graph pueden ralentizar las restauraciones de gran volumen. Comprende cómo estos límites afectan a tu tiempo de Recovery.

Una estrategia específica de Backup and Recovery para M365 ayuda a cubrir las lagunas que dejan las protecciones nativas. Ofrece a las organizaciones un mayor control sobre sus datos, mejora el tiempo de Recovery y facilita la conservación a largo plazo y el cumplimiento normativo.

A continuación se indican algunas medidas que puede tomar para ayudar a proteger su entorno de M365:

1. Habilita la autenticación multifactorial (MFA) para todos los usuarios.
   Utiliza Entra ID para exigir la autenticación multifactorial en todas las cuentas, incluidas las de administrador y las cuentas de servicio. Crea directivas de acceso condicional para aplicar este requisito en toda la organización.
2. Configure «Enlaces seguros» y «Archivos adjuntos seguros».
   En Microsoft Defender para Office 365, active «Enlaces seguros» para analizar y reescribir las URL. Active «Archivos adjuntos seguros» para analizar los archivos en un entorno aislado antes de su entrega.
3. Restringe las funciones de administrador global.
   Revisa las asignaciones de funciones de administrador en Entra ID. Aplica los principios de privilegios mínimos y habilita el acceso «justo a tiempo» a través de Privileged Identity Management para tareas confidenciales.
4. Configure políticas de acceso condicional.
   Exija el uso de dispositivos de confianza, bloquee la autenticación heredada y aplique restricciones basadas en la ubicación. Estas políticas ayudan a controlar el acceso en función del riesgo en tiempo real.
5. Utilice únicamente la autenticación moderna.
   Desactive los protocolos heredados como POP e IMAP. Estos son vulnerables a los ataques de «password spraying» y no admiten la autenticación multifactorial (MFA).
6. Supervisa los registros de acceso y de inicio de sesión.
   Revisa periódicamente los registros en el Centro de seguridad y cumplimiento de Microsoft 365. Busca patrones como intentos fallidos de inicio de sesión, direcciones IP inusuales o actividad anómala en los archivos.

Reducir el riesgo de ransomware en Microsoft 365 requiere algo más que una simple copia de seguridad. Una vez dentro, los atacantes suelen desplazarse lateralmente y dirigirse a los datos compartidos y a las cuentas con privilegios. Segmentar las cargas de trabajo por función y nivel de confidencialidad ayuda a contener el impacto y limita el acceso a los sistemas críticos para el negocio.

La segmentación de la red ayuda a aislar los datos de alto valor —como los financieros, de RR. HH. o jurídicos— del tráfico general de los usuarios. Este enfoque contribuye a reducir la probabilidad de que el malware se propague más allá del punto inicial de compromiso.

Las herramientas avanzadas de protección contra amenazas ayudan a detectar comportamientos sospechosos de forma temprana mediante el análisis de la actividad de inicio de sesión, el acceso a archivos y el comportamiento de los usuarios. Estas herramientas se basan en la inteligencia sobre amenazas y la detección de anomalías para identificar indicios de compromiso que los filtros y reglas estándar podrían pasar por alto.

1. Revisar los registros de inicio de sesión de Microsoft Entra ID.
   Filtrar los intentos fallidos de inicio de sesión, las direcciones IP desconocidas y los dispositivos desconocidos. Buscar patrones que puedan indicar ataques de fuerza bruta o de relleno de credenciales.
2. Audite los roles con privilegios.
   Elabore una lista de todas las cuentas con permisos de administrador global o de alto nivel. Elimine cualquier asignación innecesaria y configure el acceso «justo a tiempo» para tareas confidenciales.
3. Comprueba las políticas de acceso condicional.
   Confirma que existan políticas que exijan la autenticación multifactorial (MFA), bloqueen los protocolos heredados y restrinjan el acceso en función de la ubicación o del cumplimiento de los requisitos del dispositivo.
4. Revisa la configuración de uso compartido de SharePoint y OneDrive.
   Identifica cualquier archivo o carpeta compartida mediante enlaces anónimos o con usuarios externos. Elimina los accesos que ya no sean necesarios.
5. Analice las reglas de los buzones de correo y la configuración de reenvío.
   Busque reglas que reenvíen correos electrónicos al exterior o eliminen mensajes automáticamente. Esto puede ser indicativo de una apropiación de cuenta.
6. Prueba las políticas de prevención de pérdida de datos ( DLP).
   Simula acciones que deberían activar las protecciones de DLP y comprueba que se generen alertas. Confirma que las medidas de aplicación funcionan tal y como están configuradas.
7. Documenta los resultados y asigna las medidas de seguimiento.
   Realiza un seguimiento de los problemas identificados, asigna responsables y establece plazos claros. Esto ayuda a mantener la responsabilidad entre los equipos y favorece la mejora continua.

Yedioth Information Technologies (yit), una editorial líder, se enfrentaba a retos a la hora de proteger su creciente entorno de Microsoft 365. Con 1.000 buzones de correo que proteger y planes de ampliar a 1.500, la empresa necesitaba una solución que pudiera escalar y, al mismo tiempo, cumplir con los estrictos requisitos de retención de datos de su negocio editorial.

Tras utilizar con éxito Commvault para la protección en sus propias instalaciones, yit implementó Commvault Cloud Backup and Recovery para Microsoft 365. La implementación resultó extraordinariamente eficiente: tan solo tres horas después de la instalación, el equipo ya había comenzado a realizar copias de seguridad de los buzones de correo.

«Disponer de una solución de gestión de datos como servicio que sea fiable y flexible, y que pueda dar soporte a nuestro negocio editorial, es fundamental», afirmó Eytan Molle, responsable de sistemas de yit. «Commvault Cloud Backup and Recovery para Microsoft 365 es seguro, fiable y práctico. Podemos recuperar datos fácilmente y sin ningún problema».

Los resultados fueron transformadores. Antes de implementar la solución, la recuperación de contenido archivado podía llevar días y, a menudo, requería localizar y transportar cintas físicas desde un almacén. Este proceso resultaba especialmente complicado cuando los editores necesitaban acceder a artículos publicados hacía años.

«Ahora, con Commvault Cloud Backup and Recovery para Microsoft 365, podemos recuperar por completo los datos de Office 365 en solo unos minutos, en lugar de días», explicó Molle.

La solución también redujo los gastos operativos. En lugar de necesitar a dos empleados para gestionar las copias de seguridad, ahora solo se necesita una persona. Se eliminó el trabajo durante los fines de semana y el equipo ganó tranquilidad al saber que sus datos estaban protegidos contra las amenazas de ransomware, tanto en las instalaciones como en la nube.

Gracias a un panel de control integrado, el personal de TI puede supervisar fácilmente tanto las copias de seguridad locales como las de la nube desde una única interfaz, lo que simplifica la gestión y ayuda a mantener la continuidad del negocio. «Recomendaría
Commvault y Commvault Cloud Backup and Recovery for Microsoft 365 sin ninguna duda», afirmó Molle. «Puedes olvidarte de las copias de seguridad y dormir mejor por las noches».