Cómo bloquear la autenticación heredada (legacy auth) en Microsoft 365

Qué es la autenticación heredada y por qué es peligrosa

La autenticación heredada (legacy authentication) es la que usan los protocolos antiguos de correo y algunos clientes que envían usuario y contraseña en cada petición: POP3, IMAP4, SMTP AUTH, Exchange ActiveSync con autenticación básica, Outlook Anywhere (RPC sobre HTTP) y versiones antiguas de Office.

El problema es que estos protocolos no admiten MFA. Da igual que tengas una política de MFA perfecta: si un atacante tiene la contraseña de un usuario y la autenticación heredada está permitida, puede entrar saltándose el segundo factor. Por eso los ataques de password spraying contra Microsoft 365 se dirigen sobre todo a estos protocolos.

¿No lo había desactivado ya Microsoft?

En parte. Microsoft desactivó la autenticación básica en Exchange Online para la mayoría de protocolos a partir de octubre de 2022. Pero eso no significa que tu tenant esté protegido:

• SMTP AUTH quedó fuera de aquella retirada y se sigue usando en impresoras, escáneres y aplicaciones que envían correo. Microsoft ha anunciado también su retirada con autenticación básica; revisa el Centro de mensajes de tu tenant para ver las fechas que te aplican.
• Los intentos de inicio de sesión con clientes heredados siguen llegando a Entra ID. Bloquearlos con una política propia es una defensa en profundidad que no depende de los cambios de calendario de Microsoft.
• Muchos tenants tienen POP e IMAP habilitados en todos los buzones aunque nadie los use.

Paso 1: averigua quién la está usando

Antes de bloquear nada, identifica qué usuarios y aplicaciones dependen todavía de estos protocolos. Si bloqueas a ciegas puedes dejar sin correo a una impresora multifunción o a un ERP que envía facturas.

En el centro de administración de Microsoft Entra abre los registros de inicio de sesión, añade el filtro Aplicación cliente y selecciona todas las opciones del grupo de clientes de autenticación heredada (SMTP autenticado, IMAP4, POP3, Exchange ActiveSync, Otros clientes, etc.). Revisa el periodo más largo disponible: 7 días en la versión gratuita de Entra ID y 30 días con P1 o P2.

Para cada resultado anota el usuario, el protocolo y, si es una cuenta de servicio, qué sistema la usa. Lo habitual es encontrar tres grupos:

• Usuarios con clientes antiguos: versiones antiguas de Outlook o la app de correo nativa de un móvil antiguo. Se resuelve actualizando el cliente o pasando a Outlook para móvil.
• Dispositivos y aplicaciones que envían correo por SMTP AUTH: impresoras, escáneres, software de gestión. Necesitan una alternativa antes del bloqueo (ver paso 4).
• Intentos fallidos desde IPs desconocidas: son ataques. Confirman que necesitas el bloqueo cuanto antes.

Paso 2: crea la política de acceso condicional en modo solo informe

Con Entra ID P1 (incluido en Microsoft 365 Business Premium, E3 y E5), el método recomendado es una política de acceso condicional. Microsoft ofrece la plantilla Block legacy authentication; si la creas a mano, configúrala así:

• Usuarios: todos los usuarios, excluyendo tus cuentas de emergencia (break-glass).
• Recursos de destino: todos los recursos (antes, "todas las aplicaciones en la nube").
• Condiciones > Aplicaciones cliente: marca solo Clientes de Exchange ActiveSync y Otros clientes.
• Conceder: bloquear el acceso.
• Estado: solo informe.

Déjala en modo solo informe una o dos semanas y revisa en los registros de inicio de sesión qué habría bloqueado. Así confirmas que no afecta a nada legítimo que se te haya escapado en el paso 1.

Paso 3: activa el bloqueo

Cuando el modo solo informe no muestre sorpresas, cambia la política a Activada. A partir de ese momento se rechaza cualquier intento de autenticación heredada, tenga o no la contraseña correcta.

Si no tienes Entra ID P1, activa los valores predeterminados de seguridad (security defaults) en Entra ID. Bloquean la autenticación heredada y exigen MFA a todos los usuarios sin coste adicional. Ten en cuenta que no se pueden combinar con políticas de acceso condicional: es una cosa o la otra.

Paso 4: alternativas para impresoras y aplicaciones

Los dispositivos que envían correo por SMTP AUTH con usuario y contraseña necesitan otra vía:

• Conector de retransmisión SMTP en Exchange Online, autenticado por la IP pública de tu oficina o por certificado. El dispositivo envía sin credenciales y Exchange acepta el correo a través del conector.
• Aplicaciones compatibles con OAuth 2.0: muchos programas de gestión y CRM modernos ya permiten enviar con autenticación moderna. A veces basta con actualizar.
• Servicio de envío dedicado: para envíos masivos o aplicaciones propias, un servicio de correo transaccional evita depender de un buzón de usuario.

Paso 5: desactiva también los protocolos en Exchange Online

El acceso condicional bloquea la autenticación, pero conviene además desactivar los protocolos que no usas para reducir la superficie de ataque. Con el módulo ExchangeOnlineManagement de PowerShell:

• Desactivar SMTP AUTH en toda la organización: Set-TransportConfig -SmtpClientAuthenticationDisabled $true
• Desactivar POP e IMAP en un buzón: Set-CASMailbox -Identity usuario@tudominio.com -PopEnabled $false -ImapEnabled $false
• Hacer que los buzones nuevos se creen sin POP ni IMAP: Get-CASMailboxPlan | Set-CASMailboxPlan -PopEnabled $false -ImapEnabled $false

Si una cuenta concreta necesita SMTP AUTH mientras migras a una alternativa, puedes habilitarlo solo para ella con Set-CASMailbox -Identity cuenta@tudominio.com -SmtpClientAuthenticationDisabled $false. Apunta la excepción y ponle fecha de fin.

Paso 6: vigila que siga bloqueado

Las políticas se modifican, aparecen exclusiones "temporales" que nadie quita y se crean buzones nuevos. Revisa periódicamente que la política sigue activa, quién está excluido y si hay inicios de sesión heredados recientes.

Cómo te ayuda 365toControl

El módulo de Legacy Authentication de 365toControl analiza los inicios de sesión heredados de los últimos 7 días, muestra qué usuarios y protocolos los generan y si se completaron o se bloquearon, y comprueba si existe una política de acceso condicional activa que los bloquee. Estos controles también cuentan en la puntuación NIS2 del tenant, en los apartados de ciberhigiene (Art. 21.2.g) y criptografía (Art. 21.2.h).