Defender for Office: que el phishing no dependa solo del usuario

Un correo que parece del proveedor de siempre, con su logotipo, su firma y una factura adjunta. Llega un martes a las seis y media, cuando la bandeja está a rebosar y la cabeza ya está en otra parte. Basta un clic en un mal momento. Pedir a la plantilla que nunca se equivoque no es una estrategia: el correo tiene que llegar ya filtrado.

El problema no es la formación, es la estadística

Las campañas de concienciación funcionan: la gente aprende a desconfiar de las prisas, de los remitentes raros y de las peticiones de cambio de cuenta bancaria. Pero un equipo de personas recibe muchísimos correos al año, y basta con que uno solo engañe a una sola persona en un descuido. Ninguna formación consigue que eso no ocurra nunca.

Por eso la conversación útil no es «cómo hacemos que nadie falle», sino «cuántos de esos correos llegan a la bandeja de entrada». Cuantos menos lleguen, menos depende la seguridad de la atención de cada uno en su peor momento del día.

Lo que trae Microsoft 365 y lo que añade Defender

Todos los buzones de Microsoft 365 incluyen un filtro básico contra el spam y los virus ya conocidos. Es una buena primera barrera, pero está pensada para amenazas que ya se han visto antes. Defender for Office 365 añade capas para los ataques que todavía no tienen nombre:

• Enlaces seguros: cada enlace se comprueba en el momento del clic, no solo cuando llega el correo. Así se detectan las páginas que eran inofensivas al enviarse y se vuelven maliciosas horas después, un truco muy habitual para esquivar los filtros.
• Adjuntos seguros: los archivos se abren primero en un entorno aislado (una especie de habitación cerrada donde un programa no puede tocar nada real) para observar cómo se comportan antes de entregarlos.
• Protección contra la suplantación: detecta correos que imitan a directivos, proveedores habituales o dominios que se parecen al tuyo con una letra cambiada.

Ninguna de estas capas exige que la persona haga nada distinto. Trabajan antes de que el correo llegue o en el instante del clic, que es justo cuando hace falta.

La configuración marca la diferencia

Un hallazgo frecuente al revisar un entorno es que la licencia está pagada y la configuración, intacta. Defender funciona con los valores por defecto, pero de forma mucho más tímida de lo que podría. Microsoft ofrece directivas predefinidas en dos niveles, estándar y estricto, que conviene aplicar como base sólida en lugar de partir de cero.

A partir de ahí llega el ajuste fino, que es donde se nota el criterio:

• Proteger de forma especial a dirección y administración, que son el objetivo preferido de quien quiere cambiar una cuenta de cobro o pedir una transferencia urgente.
• Dar de alta como protegidos los dominios de los proveedores y clientes con los que más se trabaja, para que una imitación salte enseguida.
• Decidir qué se hace con los correos dudosos: cuarentena, aviso al usuario o entrega con advertencia.

Cuando algo se cuela: el botón de aviso

Ningún filtro es perfecto, y siempre se colará algo. La diferencia está en lo que pasa después. Tiene sentido que cualquier persona pueda notificar un correo sospechoso con un botón en Outlook, sin tener que reenviarlo ni escribir a nadie, y que alguien revise esas notificaciones con regularidad.

Imagina una empresa de 40 personas en la que tres reciben el mismo correo trampa. La primera lo notifica. Si ese aviso se atiende bien, el mismo mensaje puede localizarse y retirarse de los otros dos buzones antes de que alguien lo abra. Un solo gesto protege a todo el equipo.

Un aviso bien gestionado vale más que diez correos de recordatorio.

Además, quien notifica recibe una respuesta: era legítimo, era phishing o era publicidad. Ese pequeño cierre del círculo refuerza la costumbre de avisar, que es lo que de verdad interesa.

Cómo saber si está funcionando

El panel de Defender muestra cuántos correos se bloquearon, qué enlaces se reescribieron, qué adjuntos se detuvieron y quién hizo clic en algo peligroso. No hace falta mirarlo a diario. Revisarlo una vez al mes basta para responder tres preguntas sencillas:

1. ¿Hay algún tipo de ataque que se repite y merece una regla específica?
2. ¿Se están bloqueando correos legítimos que molestan al negocio?
3. ¿Hay personas o departamentos que reciben más intentos y a los que conviene reforzar con formación?

Esa última pregunta une las dos mitades del problema. La tecnología filtra la mayor parte, y la información que recoge permite que la formación se dirija a quien más la necesita, en lugar de repetir el mismo curso a todo el mundo.

Tecnología primero, personas después

El orden importa. Si la protección descansa en que cada persona detecte cada engaño, la empresa está tan segura como su empleado más cansado en su peor tarde. Si el correo llega ya limpio y existe un circuito claro para lo poco que se cuela, el error humano deja de ser una catástrofe y pasa a ser un incidente menor que se resuelve en minutos.

En OLATIC empezamos revisando cómo está configurado hoy tu Defender, aplicamos las directivas de base con los ajustes que pide tu negocio y dejamos funcionando el botón de aviso con alguien que lo atienda. Así, cuando llegue la próxima factura falsa, la decisión no recaerá en quien tenga la bandeja más llena.