8 min de lectura
SATITEC · SEGURIDAD DEL CORREO
Cómo revisar la seguridad del correo de tu empresa en Microsoft 365
¿Quién puede entrar en tu cuenta, recibir una copia de tus mensajes o enviar correos en tu nombre? Estas seis comprobaciones te ayudan a revisar los accesos y a saber qué pedir a tu responsable informático.
El correo puede seguir funcionando aunque haya un acceso que no debería existir. Una regla puede apartar mensajes de la bandeja de entrada; un reenvío, mandar una copia fuera de la empresa. También puede quedar un permiso que se concedió para resolver algo puntual y nunca se retiró.
Revisar la seguridad del correo en Microsoft 365 consiste en comprobar esos accesos, no solo en tener una contraseña difícil. Vamos a recorrer seis lugares donde puedes encontrar información útil, sin instalar herramientas ni cambiar ajustes a ciegas.
Si ya has detectado correos enviados sin tu permiso, un acceso ajeno o una factura manipulada, avisa ahora al responsable informático. No esperes a terminar la guía. Más abajo explicamos qué hacer si encuentras actividad extraña.
Antes de empezar: comprueba qué cuenta utilizas
Esta guía está pensada para cuentas de empresa de Microsoft 365 con correo en Exchange Online. Usar la aplicación Outlook no basta para saberlo: también permite consultar correos alojados en otros proveedores. Si tienes dudas, pregunta a quien gestiona vuestro correo.
Haz la revisión desde el navegador de un equipo de confianza, con tu cuenta de trabajo. Los primeros cuatro apartados los puedes revisar como usuario; los permisos de aplicaciones pueden necesitar ayuda y la delegación del buzón requiere un administrador. Si una opción no aparece, no significa que esté todo desactivado. Puede depender de cómo esté configurada la empresa.
Conviene hacer estas comprobaciones también al cambiar de proveedor informático, dar de baja a un empleado o dejar de utilizar una aplicación conectada al correo. Anota qué encuentras, quién lo necesita y qué queda por confirmar.
1. Revisa los inicios de sesión
Puedes revisarlo con tu cuenta de trabajo. Aquí buscas accesos que no encajen con tu actividad.
- Abre Mi cuenta de Microsoft e inicia sesión con tu cuenta profesional.
- En el menú, despliega Mi cuenta y entra en Actividad reciente. En otras vistas aparece como Mis inicios de sesión.
- Despliega los registros y compara la fecha, la aplicación, el dispositivo y el resultado del acceso.
No te quedes solo con el mapa. La ubicación se estima a partir de la conexión y puede no coincidir con donde estás. Un acceso fallido tampoco demuestra que hayan entrado. Tiene más sentido revisar un acceso correcto a una hora en la que no trabajabas y desde una aplicación que no reconoces, contrastándolo con tus dispositivos.
Si no puedes explicarlo, guarda la fecha y los detalles para que el administrador lo investigue. Microsoft explica cómo interpretar estos datos en su guía de actividad de inicio de sesión.
2. Comprueba tus métodos de verificación
Puedes revisar los métodos de tu propia cuenta. Son los que utilizas para confirmar tu identidad o recuperar el acceso.
- Abre Información de seguridad.
- Revisa los teléfonos, aplicaciones Authenticator y otros métodos registrados.
- Comprueba que reconoces cada uno y que sigues teniendo acceso a ellos.
Un móvil antiguo es algo que debes actualizar. Un método que no has añadido tú merece una revisión inmediata. No elimines tu único método válido sin preparar otro: podrías quedarte fuera de la cuenta. Si el registro es sospechoso, coordina la actuación con el administrador.
Tener Authenticator en esta lista no confirma por sí solo que la empresa exija una segunda verificación en todos los accesos necesarios. Esa política debe comprobarla quien administra Microsoft 365. Puedes consultar los métodos disponibles en la ayuda de Microsoft sobre información de seguridad.
3. Mira qué hacen las reglas de Outlook
Puedes revisar las reglas de tu buzón. Muchas son útiles: ordenar facturas o separar avisos. Lo importante es saber qué hacen realmente.
- Abre Outlook en la web con tu cuenta de empresa.
- Entra en Configuración → Correo → Reglas.
- Abre cada regla y lee sus condiciones y acciones, no solo su nombre.
Fíjate especialmente en las reglas que reenvían, redirigen, eliminan o mueven mensajes a carpetas que apenas consultas. Por ejemplo, una regla llamada «Administración» podría ordenar facturas de forma legítima; si además envía una copia a una dirección desconocida, hay algo que aclarar.
Antes de quitar una regla que no entiendes, registra qué hace y comprueba si forma parte del trabajo de la empresa. Si hay indicios de intrusión, avisa sin demora. La documentación de reglas y reenvíos de Microsoft distingue las acciones disponibles.
4. Comprueba el reenvío automático del buzón
Es una comprobación distinta de las reglas. Que la lista anterior esté vacía no descarta que haya un reenvío configurado.
- En Outlook en la web, abre Configuración → Correo → Reenvío. La opción puede aparecer como Reenvío e IMAP.
- Comprueba si está habilitado y cuál es la dirección de destino.
- Si existe un destino, confirma para qué se utiliza y quién controla esa cuenta.
Por ejemplo, enviar mensajes a un compañero durante una ausencia puede tener una explicación. Mantener el envío a una cuenta personal después de esa ausencia puede dejar información fuera del control de la empresa. No basta con reconocer el nombre de la persona: hay que confirmar que el acceso sigue siendo necesario.
Si no puedes ver esta opción, pide al administrador que revise también la configuración de reenvío del buzón. Microsoft detalla el ajuste de usuario en su guía de reenvío automático.
5. Revisa las aplicaciones con permisos
Puedes ver parte de los permisos; otros los gestiona el administrador. Un CRM, una herramienta de reservas o una aplicación de IA pueden haberte pedido acceso a información de la cuenta.
- Entra en el portal Mis aplicaciones con tu cuenta profesional.
- Abre el menú de los tres puntos de una aplicación. Si aparece Administrar la aplicación, entra para ver sus permisos.
- Cuando esa opción esté disponible, lee los permisos y distingue los que has aceptado tú de los concedidos por el administrador.
No todas las aplicaciones muestran esa opción. En algunos accesos de Microsoft solo verás «Copiar vínculo» y «Quitar», como en la captura. Ese menú no permite comprobar los permisos: pide al administrador que revise las autorizaciones de la organización.
Una aplicación visible no tiene necesariamente acceso al correo. Hay que leer sus permisos. Si no reconoces una, pregunta qué función cumple antes de revocarlos: podrías interrumpir una herramienta de trabajo.
Esta pantalla no sustituye la revisión completa de aplicaciones de la organización. Los permisos concedidos por un administrador no puedes retirarlos desde tu cuenta. Consulta la ayuda de Microsoft para revisar permisos. Si estáis conectando asistentes, revisad también cómo usar IA en la empresa protegiendo los datos.
6. Pide que revisen quién tiene acceso delegado
Este paso corresponde al administrador. En un buzón compartido o en el de una persona puede haber permisos para otros usuarios. Son habituales en administración o atención al cliente, pero deben mantenerse al día.
- En el Centro de administración de Exchange, entra en Destinatarios → Buzones.
- Selecciona el buzón y abre la pestaña Delegación.
- Revisa los usuarios o grupos asignados a cada permiso y confirma que siguen necesitándolo.
- Leer y administrar / Acceso completo: permite abrir y gestionar el contenido, pero no enviar por sí solo.
- Enviar como: permite enviar mensajes como ese buzón; no concede lectura por sí solo.
- Enviar en nombre de: identifica que una persona envía en nombre del buzón.
Además de exempleados, revisad accesos temporales y grupos cuyos miembros hayan cambiado. La documentación de delegación de Microsoft explica estos permisos.
Qué hacer si encuentras actividad extraña
Contacta con vuestro responsable informático por un canal de confianza, como una llamada a su número habitual. Anota la hora, la cuenta afectada y lo que has visto. No envíes contraseñas ni códigos de verificación para pedir ayuda.
Si hay una intrusión, el administrador debe contenerla: bloquear temporalmente la cuenta cuando proceda, revocar sesiones, restablecer credenciales y revisar los métodos de autenticación, reglas y permisos. Cambiar la contraseña no elimina por sí solo una regla de reenvío ni todos los permisos concedidos. Microsoft recoge el proceso en su guía de respuesta ante una cuenta comprometida.
Si el aviso afecta a un cambio de cuenta bancaria de un proveedor, confirmadlo por un teléfono que ya conocíais antes de autorizar el pago. No utilicéis el número que aparece únicamente en el mensaje dudoso.
Y si el mensaje te lleva a una página auténtica de Microsoft
La dirección de la página no resuelve todas las dudas. Microsoft ha documentado campañas que engañan al usuario para autorizar un acceso mediante un código en una página legítima. Introduce códigos y acepta solicitudes de acceso solo cuando hayas iniciado tú ese proceso y sepas para qué sirve. Una invitación inesperada no se vuelve fiable porque termine en una pantalla conocida.
Convierte la revisión en una lista de pendientes concreta
Al terminar no necesitas un informe largo. Anota los hallazgos que requieran una decisión: qué acceso existe, para qué se usa, quién lo confirma y cuándo se revisará. Por ejemplo: «Reenvío de administración a una dirección externa; confirmar si sigue haciendo falta con la responsable del departamento».
Si todo encaja, conserva la fecha de revisión. Si cambian las personas o las herramientas, vuelve a comprobar los permisos afectados. Esta rutina encaja en el mantenimiento informático de la empresa, junto con las actualizaciones, las copias y la gestión de altas y bajas.
Estas seis comprobaciones ayudan a detectar accesos y ajustes que conviene corregir. No cubren toda la seguridad del entorno: el administrador debe revisar también las políticas de acceso, la protección del correo y las alertas disponibles.
Preguntas frecuentes sobre la seguridad del correo Microsoft 365
¿Sirve esta guía para una cuenta de Outlook.com o Hotmail?
No de forma completa. Algunas funciones de Outlook se parecen, pero las cuentas personales no tienen la misma administración que Microsoft 365 para empresas. Tampoco se aplica todo a un correo de otro proveedor que consultes desde la aplicación Outlook.
¿Puedo hacer la revisión si no soy administrador?
Puedes revisar tu actividad, métodos de verificación, reglas y reenvío cuando la configuración de la empresa lo permita. Para completar los permisos de aplicaciones y la delegación necesitarás al administrador. No pidas permisos de administrador solo para seguir esta guía: envíale los apartados que le corresponden.
¿Tengo que quitar todos los reenvíos y aplicaciones?
No. Pueden ser necesarios para trabajar. El criterio es que cada acceso tenga una finalidad, un responsable y unos permisos acordes con esa tarea. Lo que no se reconoce o ya no se utiliza debe revisarse, no darse por válido por llevar tiempo configurado.
¿Cada cuánto conviene repetir estas comprobaciones?
Estableced una periodicidad según el riesgo y los cambios de vuestra empresa. Además, revisad los accesos afectados cuando alguien se marche, cambie de puesto o dejéis de usar una aplicación. Una alerta o un comportamiento extraño exige actuar en ese momento.