Una encuesta de Act sobre Microsoft 365, realizada en septiembre de 2026, encontró que el 89,8 % de las empresas afectadas o con incidentes sospechosos tenía la autenticación multifactor (MFA) aplicada. A la vez, dos problemas distintos sumaban el 64,4 % de las cuentas afectadas o sospechosas: exclusiones o desactivaciones de MFA y dificultades con los métodos o la configuración. Son medidas con denominadores diferentes. Los resultados fueron publicados por TechTarget Japan.
Act encuestó a 1.002 personas implicadas en la operación de Microsoft 365 en empresas privadas de entre 100 y 999 empleados. La encuesta preguntó por incidentes entre septiembre de 2025 y septiembre de 2026. Microsoft, por separado, ha descrito formas de robar una sesión autenticada y recomendaciones para responder a esos casos.
En este artículo
- Qué cifras reportó la encuesta
- Qué controles se revisaban con menos frecuencia
- Cómo puede robarse una sesión después de MFA
- Qué medidas de respuesta describe Microsoft
Qué cifras reportó la encuesta
TechTarget Japan informó que el 71,5 % de las empresas encuestadas había sufrido accesos no autorizados, compromisos de cuentas o sospechas de alguno de esos incidentes durante el periodo consultado. Entre las empresas afectadas o con sospechas, el 89,8 % tenía MFA aplicada y el 6,3 % no la tenía.
| Medida | Resultado reportado | Alcance |
| Empresas con accesos no autorizados, cuentas comprometidas o sospechas | 71,5 % | Empresas encuestadas; septiembre de 2025 a septiembre de 2026 |
| Empresas afectadas o con sospechas que tenían MFA aplicada | 89,8 % | Empresas, no cuentas individuales |
| Empresas afectadas o con sospechas que no tenían MFA aplicada | 6,3 % | Empresas, no cuentas individuales |
| Cuentas afectadas o sospechosas con MFA desactivada temporalmente o excluida | 43,0 % | Cuentas afectadas o sospechosas |
| Cuentas afectadas o sospechosas con problemas en el método o la configuración de autenticación | 21,4 % | Cuentas afectadas o sospechosas |
| Suma de las dos categorías anteriores | 64,4 % | Cuentas afectadas o sospechosas |
El 64,4 % no describe a las empresas encuestadas: corresponde a la suma de dos categorías de cuentas afectadas o sospechosas. Por su parte, que una empresa declarase tener MFA aplicada no indica por sí solo qué ocurrió con cada cuenta involucrada.
Qué controles se revisaban con menos frecuencia
El 82,6 % había utilizado recomendaciones de seguridad para revisar ajustes, pero solo el 32,7 % afirmó revisarlos de forma periódica. El 67,1 % dijo confiar en su configuración. En cuanto a controles concretos, las revisiones de Acceso Condicional alcanzaban el 40,4 % y las de protección de cuentas de administrador, el 32,2 %. Las tasas eran del 11,0 % para permisos de aplicaciones OAuth y del 10,1 % para registros de auditoría o alertas.
La encuesta también reportó integraciones con herramientas de IA, como Microsoft 365 Copilot, en el 90,1 % de las organizaciones; el 29,4 % revisaba periódicamente los permisos de acceso asociados. El 38,6 % hacía inventarios regulares de roles privilegiados. Para profundizar en los permisos de Copilot, consulta la guía de NeoTeo sobre cómo proteger los datos de Microsoft 365 para Copilot.
Las principales barreras declaradas para revisar la configuración eran la dificultad para entender los ajustes, mencionada por el 32,5 %, y el riesgo de interrumpir procesos o integraciones existentes, citado por el 31,8 %. El 10,8 % señaló el coste de licencias superiores, como Microsoft 365 E5.
Cómo puede robarse una sesión después de MFA
Microsoft describe ataques de intermediario, conocidos como AiTM, que se interponen entre la persona y el servicio de inicio de sesión. El atacante retransmite la autenticación legítima, incluida la comprobación de MFA, y captura la cookie que mantiene abierta la sesión. Después puede reutilizarla para acceder a esa sesión sin repetir el desafío original.
En una campaña distinta, Microsoft describió cómo un atacante aprovechó controles débiles para actualizar los métodos de MFA y añadió un método de contraseña de un solo uso (OTP) por teléfono después de robar una sesión. Son mecanismos documentados por Microsoft, no explicaciones de los incidentes recogidos en la encuesta de Act.
MFA sigue siendo una capa importante de protección. Para resistir el phishing AiTM, Microsoft identifica como opciones las passkeys, la autenticación basada en certificados y Windows Hello for Business; también recomienda llaves de seguridad FIDO2. Acceso Condicional y la supervisión de sesiones anómalas añaden controles complementarios.
Qué medidas de respuesta describe Microsoft
En el análisis de su campaña de AiTM y fraude por correo empresarial, Microsoft indicó que la respuesta incluía restablecer las credenciales, revocar las sesiones y revertir los cambios no autorizados en los métodos de MFA. Así, la actuación cubre tanto las credenciales como una sesión que ya podría estar autenticada y los métodos que un atacante hubiera añadido.
