Existe un tipo de vulnerabilidad en Microsoft 365 que no suele aparecer en los informes de seguridad ni en los análisis de riesgo convencionales, pero que vemos de forma recurrente en casi todos los tenants que auditamos: las cuentas genéricas sin propietario claro.
info@, noreply@, rrhh@, escaner@, facturacion@. Cuentas que se crearon en algún momento con una finalidad concreta, que nadie usa de forma activa, pero que siguen activas en el directorio y, en muchos casos, sin autenticación multifactor configurada.
Por qué estas cuentas son especialmente peligrosas
Una cuenta corporativa sin MFA y sin supervisión activa tiene características que la convierten en un objetivo especialmente atractivo: las contraseñas de estas cuentas raramente se cambian, nadie revisa su actividad de forma habitual, y si alguien accede a ellas con credenciales válidas, puede pasar semanas operando sin que nadie lo detecte.
A diferencia de las cuentas personales de los usuarios, que tienen un propietario concreto que puede notar comportamientos extraños (correos que no ha enviado, actividad en horarios inusuales), las cuentas genéricas no tienen esa capa de supervisión humana.
Este escenario aparece como uno de los vectores de ataque más frecuentes y menos atendidos: el atacante consigue acceso a una de estas cuentas, opera durante semanas sin generar alertas evidentes, y utiliza esa posición para moverse lateralmente hacia otros sistemas o para extraer información de forma silenciosa.
El problema no es que existan, es que nadie las gestiona
Las cuentas genéricas tienen usos legítimos. Una dirección de correo para recibir facturas, una cuenta asociada a un escáner de documentos, una dirección de contacto general para clientes. El problema no es su existencia, sino la ausencia de gobierno sobre ellas.
¿Quién es el responsable de cada una de esas cuentas? ¿Tienen contraseñas robustas y políticas de renovación? ¿Está activado el MFA, o al menos se ha evaluado si es técnicamente posible y cómo gestionarlo cuando no hay un usuario humano detrás? ¿Alguien revisa periódicamente la actividad de esas cuentas y tiene capacidad de detectar comportamientos anómalos?
En la mayoría de los casos, la respuesta a todas esas preguntas es no. No porque el equipo IT sea negligente, sino porque estas cuentas se crearon, resolvieron su propósito inmediato y quedaron en el olvido.
Qué hacer con ellas: revisión, gobierno y protección
El primer paso es simplemente conocer cuáles existen. Una auditoría del tenant de Microsoft 365 permite identificar todas las cuentas activas, clasificarlas por tipo de uso y detectar cuáles presentan configuraciones de seguridad deficientes: sin MFA, sin actividad reciente, con permisos más amplios de lo necesario.
A partir de ese inventario, se puede actuar: deshabilitar las que ya no tienen ninguna función activa, asignar un propietario claro a las que sí la tienen, reforzar las políticas de autenticación para las que no pueden tener MFA estándar, e incorporarlas a los procesos de monitorización de seguridad.
Este proceso no es complejo, pero requiere tiempo y criterio. Y lo que parece un detalle técnico de menor importancia tiene, en la práctica, un impacto directo en la postura de seguridad de la organización.
Un punto ciego que Colaboratic puede cubrir
En Colaboratic, la revisión de cuentas sin propietario y la gestión del gobierno de identidades forma parte del proceso de arranque de nuestro servicio de seguridad y operación de Microsoft 365. Es uno de los primeros puntos que se auditan precisamente porque es uno de los que más sorprende a los clientes: no por la complejidad del problema, sino por lo fácil que es no haberlo detectado hasta entonces.
El objetivo no es señalar errores del pasado, sino construir desde ahí un entorno más controlado, más visible y más difícil de comprometer. Con una revisión periódica de accesos y una gestión activa del ciclo de vida de las cuentas, este tipo de vulnerabilidad deja de ser un punto ciego.
Si quieres saber cuántas cuentas sin propietario activo existen en tu tenant y qué riesgo representan, podemos analizarlo contigo.
Contacta con nuestro equipo aquí.
