El correo electrónico continúa siendo una de las principales vías utilizadas para intentar robar credenciales, distribuir archivos maliciosos y comprometer cuentas empresariales.
Aunque Microsoft 365 y Google Workspace incorporan mecanismos de protección contra phishing, una configuración incorrecta puede permitir que mensajes peligrosos lleguen a los usuarios o provocar que comunicaciones legítimas terminen bloqueadas.
El desafío no consiste únicamente en activar filtros. También es necesario comprender cómo funcionan, revisar las reglas existentes, investigar mensajes sospechosos y preparar a los empleados para reconocer intentos de fraude.
En esta guía explicamos cómo proteger el correo empresarial contra phishing en Microsoft 365 y Google Workspace, qué configuraciones conviene revisar y cómo realizar simulaciones de phishing sin introducir excepciones de seguridad innecesarias.
¿Cómo funciona la protección contra phishing?
El phishing es una técnica de ingeniería social mediante la cual un atacante intenta engañar a una persona para obtener información confidencial, instalar software malicioso o provocar acciones no autorizadas.
Un mensaje de phishing puede intentar:
- Robar credenciales de Microsoft 365 o Google Workspace.
- Conseguir códigos de autenticación.
- Distribuir enlaces maliciosos.
- Suplantar a directivos o proveedores.
- Solicitar transferencias fraudulentas.
- Obtener acceso a documentos empresariales.
- Inducir al usuario a autorizar aplicaciones maliciosas.
Los proveedores de correo utilizan diferentes mecanismos para identificar estas amenazas.
Entre ellos se encuentran el análisis de reputación, autenticación de remitentes, detección de suplantación, análisis de enlaces y archivos, y modelos de detección de comportamientos sospechosos.
Sin embargo, ningún filtro garantiza que todos los mensajes maliciosos serán detectados.
Por eso, una estrategia eficaz combina controles técnicos, administración adecuada y capacitación de usuarios.
Microsoft 365 vs. Google Workspace: principales controles de seguridad
Ambas plataformas ofrecen mecanismos de protección, aunque su funcionamiento, administración y disponibilidad dependen del servicio contratado.
| Protección | Microsoft 365 | Google Workspace |
|---|---|---|
| Filtrado de spam | Exchange Online Protection | Gmail |
| Detección de phishing | EOP y Defender for Office 365 | Protección de Gmail |
| Protección contra suplantación | Políticas anti-phishing | Autenticación y controles antisuplantación |
| Análisis de enlaces | Safe Links, según licencia | Protección de enlaces y navegación segura |
| Análisis avanzado de adjuntos | Safe Attachments, según licencia | Análisis de malware y protecciones de Gmail |
| Reglas administrativas | Exchange mail flow rules | Gmail compliance y routing |
| Investigación de mensajes | Message Trace, Defender y otras herramientas | Email Log Search y herramientas según edición |
| Simulaciones de phishing | Attack Simulation Training, según licencia | Herramientas externas o programas propios |
Esta comparación no implica que todas las funciones estén disponibles en cualquier plan.
Antes de aplicar una configuración, conviene revisar las licencias y las opciones habilitadas en la organización.
Cómo proteger Microsoft 365 contra phishing
Microsoft 365 incorpora diferentes capas de seguridad para analizar el correo entrante y reducir la exposición a amenazas.
La configuración debe comenzar por revisar los controles existentes y detectar reglas que puedan estar debilitando la protección.
1. Revisar las políticas antiphishing
Microsoft Defender permite administrar políticas relacionadas con la suplantación de identidad y la protección de usuarios y dominios.
Entre las funciones que conviene evaluar se encuentran:
- Detección de suplantación de dominios.
- Protección de usuarios importantes.
- Inteligencia de suplantación.
- Protección basada en información del buzón, cuando esté disponible.
- Acciones ante mensajes sospechosos.
- Alertas y reportes.
Las políticas preestablecidas Standard y Strict pueden servir como referencia para aplicar configuraciones de protección recomendadas por Microsoft.
Sin embargo, es importante comprobar sus efectos antes de aplicarlas ampliamente, especialmente cuando existen aplicaciones o servicios que envían correo en nombre de la organización.
2. Revisar SPF, DKIM y DMARC
La autenticación del correo es una parte fundamental de la protección contra suplantación.
SPF permite declarar qué servidores están autorizados para enviar mensajes utilizando un dominio en el contexto de la autenticación SPF.
DKIM utiliza firmas criptográficas para verificar que determinados componentes del mensaje no han sido alterados y que la firma corresponde al dominio indicado.
DMARC permite establecer políticas basadas en la alineación de los identificadores autenticados con el dominio visible del remitente.
Estos mecanismos trabajan de forma complementaria.
Por ejemplo, una empresa podría configurar SPF y DKIM correctamente, pero mantener DMARC sin una política de aplicación efectiva.
Antes de avanzar hacia políticas más restrictivas, conviene revisar todos los servicios legítimos que envían correo utilizando el dominio.
Entre ellos pueden encontrarse:
- Microsoft 365.
- Plataformas de marketing.
- Sistemas CRM.
- Aplicaciones empresariales.
- Formularios web.
- Servicios de facturación.
Una configuración incorrecta puede provocar problemas de entrega.
3. Revisar Safe Links y Safe Attachments
Microsoft Defender for Office 365 puede incorporar capacidades adicionales de protección.
Safe Links permite evaluar enlaces potencialmente peligrosos y aplicar protecciones durante la interacción con determinados vínculos.
Safe Attachments permite analizar archivos adjuntos mediante mecanismos adicionales de detección.
Estas funciones dependen de las licencias y políticas disponibles.
No conviene desactivarlas de forma general para solucionar problemas de entrega de correo.
Si un mensaje legítimo resulta bloqueado, lo apropiado es investigar la causa y utilizar los procedimientos de revisión correspondientes.
4. Revisar las reglas de flujo de correo
Las reglas de Exchange pueden modificar cómo se procesan determinados mensajes.
Una regla mal configurada podría reducir la eficacia del filtrado.
Por ejemplo, una regla que establezca un nivel de confianza de spam demasiado permisivo para un conjunto amplio de remitentes podría permitir que mensajes no deseados eviten determinadas comprobaciones.
Por eso, conviene revisar periódicamente:
- Reglas activas.
- Condiciones de aplicación.
- Excepciones.
- Remitentes permitidos.
- Dominios permitidos.
- Cambios recientes.
- Responsables de administración.
La prioridad debe ser identificar reglas innecesarias, excesivamente amplias o que ya no respondan a una necesidad real.
Cómo investigar mensajes sospechosos en Microsoft 365
Cuando un usuario reporta un posible phishing, la investigación debería comenzar por recopilar información del mensaje.
Entre los elementos útiles se encuentran:
- Remitente visible.
- Dirección real del remitente.
- Dominio utilizado.
- Resultado de autenticación.
- Cabeceras del mensaje.
- Destinatarios.
- Fecha de recepción.
- Resultado del filtrado.
- Acciones realizadas por el usuario.
¿Qué significan SCL y SFV?
Microsoft utiliza diferentes valores y encabezados para describir cómo se ha procesado un mensaje.
SCL (Spam Confidence Level) representa una clasificación relacionada con la evaluación de spam.
SFV (Spam Filtering Verdict) proporciona información sobre determinados resultados del procesamiento antispam.
Por ejemplo, un valor SCL:-1 puede indicar que se ha omitido el filtrado de spam para un mensaje.
Sin embargo, no debe interpretarse automáticamente como evidencia de que todos los controles de seguridad fueron desactivados.
Para diagnosticar correctamente el resultado es necesario revisar otros encabezados, las reglas aplicadas y los registros disponibles.
Ejemplo de investigación
Imaginemos que varios empleados reciben mensajes sospechosos aparentemente enviados desde un proveedor conocido.
El administrador debería:
- Identificar los mensajes afectados.
- Revisar la autenticación del remitente.
- Comprobar si existe una regla que permita esos mensajes.
- Examinar los resultados de filtrado.
- Determinar si algún usuario interactuó con enlaces o adjuntos.
- Aplicar las acciones de contención correspondientes.
- Documentar el incidente.
Este procedimiento permite investigar la causa sin comenzar desactivando filtros.
Cómo proteger Google Workspace contra phishing
Google Workspace también incorpora mecanismos de protección para identificar correo no deseado, suplantación y contenido malicioso.
La administración se realiza principalmente desde la consola de Google Admin.
Las opciones exactas pueden variar según la edición y las funciones habilitadas.
1. Revisar la configuración de seguridad de Gmail
Desde la consola de administración:
Aplicaciones → Google Workspace → Gmail → Seguridad
Conviene revisar las opciones relacionadas con:
- Phishing.
- Malware.
- Archivos adjuntos.
- Enlaces sospechosos.
- Suplantación de dominios.
- Remitentes externos.
- Protección frente a mensajes anómalos.
También es importante verificar a qué unidades organizativas o grupos se aplican las políticas.
Una configuración puede funcionar correctamente para un departamento y no estar habilitada para otro.
2. Configurar la autenticación del dominio
Al igual que Microsoft 365, Google Workspace utiliza mecanismos de autenticación como SPF, DKIM y DMARC.
Estos controles deben revisarse especialmente cuando existen aplicaciones externas que envían mensajes utilizando el dominio empresarial.
Antes de endurecer DMARC, identifica todos los remitentes legítimos y comprueba su autenticación y alineación.
3. Revisar reglas y listas de remitentes
Google Workspace permite establecer configuraciones de correo mediante opciones administrativas de Gmail.
Estas pueden incluir reglas de cumplimiento, enrutamiento y listas de remitentes.
Es importante evitar configuraciones que permitan indiscriminadamente mensajes de dominios externos.
Por ejemplo, permitir todos los mensajes de un dominio compartido por numerosos usuarios podría introducir riesgos innecesarios.
Las excepciones deben responder a una necesidad concreta y contar con una justificación documentada.
4. Revisar los registros de correo
Cuando un mensaje no llega o se clasifica incorrectamente, el administrador puede utilizar las herramientas de búsqueda y registro disponibles en su edición.
Estas permiten investigar aspectos relacionados con el procesamiento y la entrega de mensajes.
La información disponible puede variar según la licencia, el período de retención y las herramientas habilitadas.
¿Qué son las simulaciones de phishing?
Una simulación de phishing es una actividad autorizada mediante la cual una organización envía mensajes de prueba a sus empleados para evaluar cómo identifican y reportan posibles amenazas.
Su objetivo no debería ser castigar a los usuarios.
Una simulación bien diseñada busca identificar oportunidades de mejora en:
- Reconocimiento de mensajes sospechosos.
- Reporte de amenazas.
- Verificación de remitentes.
- Protección de credenciales.
- Uso de autenticación multifactor.
- Procedimientos internos de seguridad.
También puede ayudar a evaluar la eficacia de determinados procesos de capacitación.
Sin embargo, una simulación de phishing no sustituye las pruebas técnicas de los controles de seguridad.
Simulaciones de phishing en Microsoft 365
Microsoft ofrece Attack Simulation Training para organizaciones que disponen de las licencias correspondientes, como Microsoft Defender for Office 365 Plan 2 o determinados planes Microsoft 365 E5.
Esta herramienta permite realizar simulaciones controladas y asociarlas con actividades de capacitación.
Entre sus capacidades se encuentran:
- Definir escenarios de simulación.
- Seleccionar usuarios participantes.
- Asignar entrenamiento.
- Analizar resultados.
- Identificar oportunidades de mejora.
Procedimiento general
- Verificar licencias y permisos.
- Acceder al portal Microsoft Defender.
- Abrir Attack Simulation Training.
- Seleccionar el tipo de simulación.
- Definir los participantes.
- Configurar las actividades de capacitación.
- Revisar el alcance de la campaña.
- Ejecutar la simulación autorizada.
- Analizar los resultados.
Es recomendable comenzar con un grupo piloto y documentar los objetivos antes de extender la actividad.
Cómo configurar simulaciones externas en Microsoft 365
Cuando una organización utiliza un proveedor externo de simulaciones, puede ser necesario configurar mecanismos específicos para que los mensajes de prueba sean reconocidos correctamente.
Microsoft dispone de la función Advanced Delivery, que contempla escenarios de simulaciones de phishing de terceros.
La configuración se administra desde el portal de Microsoft Defender, en la sección de políticas de amenazas y entrega avanzada.
Precauciones importantes
No conviene sustituir Advanced Delivery por reglas generales que permitan cualquier mensaje procedente de un dominio.
La configuración debe utilizar los identificadores documentados del proveedor, como dominios e IP de envío, y validarse antes de iniciar la campaña.
También debe revisarse si existen dispositivos o servicios intermedios que modifican el flujo de correo.
Microsoft advierte que las excepciones demasiado amplias pueden introducir riesgos.
Además, las URL de simulación reconocidas por Advanced Delivery reciben un tratamiento específico; agregar exclusiones manuales redundantes en Safe Links puede producir resultados no deseados.
Una vez finalizada la campaña, revisa las configuraciones utilizadas y elimina las entradas que ya no sean necesarias.
Simulaciones de phishing en Google Workspace
Google Workspace permite utilizar herramientas externas para desarrollar campañas de concienciación.
En estos escenarios es importante distinguir dos objetivos:
Evaluar la eficacia del filtrado de correo y evaluar el comportamiento de los usuarios.
No son exactamente lo mismo.
Si el objetivo es medir la protección del correo, permitir artificialmente todos los mensajes de simulación puede distorsionar el resultado.
Si el objetivo es realizar una actividad de capacitación, puede ser necesario coordinar la entrega de mensajes de prueba con el proveedor autorizado.
En cualquier caso, deben evitarse excepciones amplias que debiliten la seguridad del correo real.
Procedimiento recomendado
- Definir el objetivo de la campaña.
- Seleccionar una plataforma de simulación confiable.
- Revisar los requisitos de integración.
- Comprobar las políticas de Gmail.
- Validar las opciones compatibles con la edición contratada.
- Ejecutar una prueba limitada.
- Confirmar que los controles habituales siguen funcionando.
- Realizar la campaña autorizada.
- Analizar los resultados.
- Revisar y retirar excepciones temporales innecesarias.
No debe asumirse que Google Workspace dispone de un mecanismo idéntico a Advanced Delivery de Microsoft.
Las configuraciones deben basarse en la documentación oficial y en los requisitos específicos del proveedor utilizado.
Cómo medir los resultados de una simulación de phishing
El número de personas que hacen clic en un enlace es útil, pero no debería ser la única métrica.
Una evaluación más completa puede incluir los siguientes indicadores.
| Indicador | Qué permite evaluar |
|---|---|
| Tasa de clics | Usuarios que interactuaron con el enlace |
| Tasa de reporte | Usuarios que identificaron y reportaron el mensaje |
| Tiempo hasta el reporte | Rapidez con que se comunica una sospecha |
| Interacción con formularios simulados | Comportamiento ante solicitudes de información |
| Reincidencia | Usuarios que repiten determinadas acciones en varias campañas |
| Participación en capacitación | Cumplimiento de actividades formativas |
| Evolución entre campañas | Cambios observados a lo largo del tiempo |
Las métricas deben interpretarse con precaución.
Por ejemplo, determinadas herramientas de seguridad pueden inspeccionar automáticamente enlaces y generar eventos que deben distinguirse de las interacciones humanas.
Además, los resultados pueden variar según la dificultad de cada simulación.
Por eso, conviene comparar campañas equivalentes y no utilizar una sola cifra como indicador absoluto de seguridad.
Ejemplo práctico: campaña de phishing para 50 empleados
Imaginemos una empresa con 50 empleados que utiliza Microsoft 365.
El responsable de seguridad organiza una simulación autorizada.
La campaña obtiene los siguientes resultados hipotéticos:
| Resultado | Usuarios |
|---|---|
| Participantes | 50 |
| Hicieron clic | 12 |
| Reportaron el mensaje | 18 |
| Completaron la capacitación | 45 |
La tasa de clics sería:
12 ÷ 50 × 100 = 24 %
La tasa de reporte sería:
18 ÷ 50 × 100 = 36 %
Estos resultados no permiten afirmar por sí solos que el 24 % de los empleados sea vulnerable a cualquier ataque.
Sin embargo, pueden ayudar a identificar oportunidades de capacitación.
Una siguiente campaña podría enfocarse en mejorar la detección y el reporte de mensajes sospechosos.
Lo importante es analizar tendencias y comportamientos, no únicamente obtener una puntuación.
Checklist de seguridad para Microsoft 365 y Google Workspace
Antes de considerar que el correo empresarial está correctamente protegido, revisa estos puntos:
-
SPF configurado y validado.
-
DKIM habilitado para los servicios correspondientes.
-
DMARC configurado según el estado de implementación.
-
Protección contra phishing activa.
-
Protección contra malware activa.
-
Reglas de correo revisadas.
-
Excepciones documentadas.
-
Autenticación multifactor habilitada donde corresponda.
-
Usuarios con privilegios administrativos identificados.
-
Acceso administrativo protegido.
-
Procedimiento para reportar phishing.
-
Responsable de investigar mensajes sospechosos.
-
Registros disponibles para diagnóstico.
-
Capacitación periódica.
-
Procedimiento de respuesta ante cuentas comprometidas.
Esta lista es un punto de partida. Las organizaciones con mayores requisitos de seguridad necesitarán controles adicionales.
Qué hacer si un empleado cae en un phishing
Cuando un usuario introduce credenciales en un sitio fraudulento o interactúa con contenido sospechoso, la prioridad debe ser contener el incidente y determinar su alcance.
Paso 1. Registrar el incidente
Documenta cuándo ocurrió, qué mensaje recibió el usuario y qué acciones realizó.
Paso 2. Proteger la cuenta
Si existe sospecha de compromiso, aplica las medidas correspondientes para restablecer credenciales, revocar sesiones y proteger los métodos de autenticación.
Paso 3. Revisar actividad sospechosa
Comprueba los registros de inicio de sesión y otras actividades relevantes según las herramientas disponibles.
Paso 4. Revisar configuraciones del buzón
Busca cambios no autorizados, como reglas de reenvío, delegaciones o modificaciones de seguridad.
Paso 5. Evaluar otros usuarios afectados
Determina si el mensaje llegó a otras cuentas y si se registraron interacciones adicionales.
Paso 6. Documentar y mejorar controles
Una vez contenido el incidente, identifica qué controles funcionaron y cuáles necesitan ajustes.
Este procedimiento debe adaptarse a la gravedad del incidente y a las políticas de respuesta de la organización.
Errores comunes al proteger el correo empresarial
Confiar únicamente en los filtros
La protección técnica es fundamental, pero no elimina todos los riesgos de ingeniería social.
Crear excepciones demasiado amplias
Permitir dominios o remitentes sin criterios estrictos puede debilitar la protección.
No revisar las reglas existentes
Las configuraciones antiguas pueden continuar activas mucho después de que desaparezca la necesidad que las originó.
No capacitar a los usuarios
Los empleados necesitan conocer los procedimientos para verificar solicitudes sospechosas y reportar incidentes.
Medir únicamente clics
Una simulación debería evaluar también el reporte de amenazas, la respuesta y la evolución del comportamiento.
No contar con un procedimiento de respuesta
Detectar un mensaje sospechoso sirve de poco si nadie sabe qué hacer después.
Preguntas frecuentes
¿Microsoft 365 protege automáticamente contra phishing?
Microsoft 365 incorpora mecanismos de protección, pero su alcance depende de las licencias, configuraciones y servicios habilitados. Es importante revisar las políticas y no asumir que todas las funciones avanzadas están disponibles.
¿Google Workspace necesita herramientas adicionales contra phishing?
Depende del riesgo y las necesidades de la organización. Gmail incluye controles de seguridad, pero algunas empresas pueden requerir herramientas complementarias de monitoreo, capacitación o respuesta.
¿Es necesario desactivar Safe Links para una simulación?
No debería desactivarse de forma general. Para simulaciones externas, Microsoft dispone de mecanismos específicos como Advanced Delivery que deben configurarse conforme a su documentación.
¿Qué significa SCL:-1 en Microsoft 365?
Es un valor asociado con la omisión del filtrado de spam. Su interpretación debe realizarse junto con otros encabezados y registros, ya que no demuestra por sí solo que todos los controles de seguridad hayan sido omitidos.
¿Cada cuánto tiempo conviene realizar simulaciones de phishing?
No existe una frecuencia universal. Depende del tamaño de la organización, los riesgos, el programa de capacitación y los resultados anteriores. Es preferible mantener un programa consistente y medible que realizar campañas frecuentes sin objetivos claros.
¿Las simulaciones de phishing deben avisarse a los empleados?
La organización debe establecer reglas transparentes sobre su programa de capacitación y cumplir las obligaciones legales, laborales y de privacidad aplicables. La comunicación puede explicar el programa general sin revelar necesariamente cada escenario concreto.
¿Qué es más importante: reducir clics o aumentar reportes?
Ambos indicadores son útiles. Reducir interacciones peligrosas es importante, pero aumentar la capacidad de identificar y reportar amenazas también contribuye a mejorar la respuesta organizacional.
Conclusión
Proteger Microsoft 365 y Google Workspace contra phishing requiere mucho más que activar filtros predeterminados.
Una estrategia eficaz combina autenticación de correo, protección contra suplantación, revisión de reglas, monitoreo, capacitación y procedimientos de respuesta.
Las simulaciones pueden contribuir a mejorar la concienciación, siempre que se desarrollen de forma autorizada y sin introducir excepciones innecesarias.
La prioridad debería ser reducir la exposición a ataques reales, mejorar la capacidad de detección y asegurar que la organización sepa cómo responder cuando ocurre un incidente.
Fuentes y documentación técnica
- Microsoft Learn: políticas anti-phishing
- Microsoft Learn: Advanced Delivery para simulaciones
- Microsoft Learn: Attack Simulation Training
- Google Workspace: protección avanzada contra phishing y malware
- NIST Cybersecurity Framework
Nota editorial: las opciones administrativas, licencias y funciones de seguridad pueden cambiar. Antes de aplicar configuraciones en un entorno de producción, consulta la documentación vigente del proveedor y valida los cambios en un entorno controlado.