Por qué Exchange Online envió correos reales a cuarentena

Entre el 5 y el 11 de febrero de 2026, algunas organizaciones que usan Exchange Online vieron cómo correos auténticos acababan clasificados como intentos de phishing y enviados a cuarentena. No se trataba necesariamente de una caída general del servicio: los mensajes podían enviarse, pero el filtro los retenía antes de que llegaran a la bandeja de entrada. El incidente, identificado por Microsoft como EX1227432, afectó tanto al envío como a la recepción de correo en algunos usuarios.

Microsoft relacionó el problema con una actualización de sus criterios para detectar enlaces sospechosos. Una regla diseñada para reconocer campañas de fraude más sofisticadas empezó a señalar también URLs legítimas y, por extensión, los mensajes que las contenían. El episodio muestra el delicado equilibrio de la seguridad del correo: un filtro demasiado permisivo deja pasar amenazas, pero uno demasiado estricto puede interrumpir comunicaciones normales.

Una defensa automática que confundió la señal

El correo corporativo no se limita a comprobar quién aparece en el campo del remitente. Antes de entregar un mensaje, los sistemas de protección pueden evaluar su procedencia, el historial de la cuenta, el contenido, los adjuntos y los enlaces incluidos. A partir de esas señales deciden si el mensaje llega a la bandeja de entrada, se desvía al correo no deseado o queda retenido. En el incidente de febrero, el punto débil estuvo en la evaluación de las direcciones web.

Microsoft explicó que sus criterios para detectar enlaces sospechosos estaban en evolución para responder a nuevas formas de spam y phishing. La información disponible vincula el fallo con una regla actualizada para identificar URLs peligrosas, que terminó siendo demasiado agresiva. El sistema no necesitaba encontrar un mensaje entero que pareciera fraudulento: bastaba con que una dirección web activara la señal de riesgo para que el correo asociado recibiera una clasificación severa.

Ese mecanismo ayuda a explicar por qué un problema aparentemente pequeño puede extenderse por muchas comunicaciones. Una firma corporativa puede llevar a la web de una empresa; una plataforma de facturación, a un servicio externo; una herramienta de reuniones o de gestión de documentos, a un dominio distinto del remitente. Si una regla empieza a desconfiar de un enlace legítimo, el mensaje completo puede quedar atrapado por asociación, aunque su autor y su propósito sean auténticos.

Qué ocurrió durante los días del incidente

La incidencia comenzó el jueves 5 de febrero de 2026. Desde entonces, algunos clientes de Exchange Online observaron mensajes ordinarios marcados como phishing y trasladados a cuarentena. El identificador EX1227432 permitió seguir el caso como una degradación del servicio, con problemas para usuarios que intentaban enviar o recibir mensajes. No fue, según la descripción disponible, una interrupción uniforme para todas las cuentas: el impacto se concentró en los mensajes que activaban la detección afectada.

El 10 de febrero, Microsoft comunicó que, al tratar de desbloquear URLs legítimas, había encontrado otro obstáculo que debía resolver antes de liberar los mensajes retenidos. Ese detalle ayuda a entender por qué restaurar el flujo no consistía simplemente en desactivar el filtro. La cuarentena podía contener mensajes legítimos y, al mismo tiempo, mensajes dañinos; una corrección precipitada podía devolver amenazas reales a las bandejas de entrada.

La información de referencia sitúa el seguimiento del incidente entre el 5 y el 11 de febrero, pero no ofrece un desglose completo de los países, sectores o dominios afectados ni permite cuantificar con precisión cuántos mensajes quedaron retenidos. Tampoco permite afirmar que todos los casos se resolvieran a la vez. Por eso es más exacto hablar de una incidencia que afectó a algunos usuarios y de una corrección progresiva, sin convertir una descripción parcial en una cifra global que no está confirmada.

Por qué un enlace puede decidir el destino del correo

Para una persona, una URL suele ser un detalle dentro del mensaje; para un filtro de seguridad, puede ser una de las pistas más reveladoras. Un enlace dirige a una página, a una descarga o a otro servicio, y los atacantes pueden emplearlo para robar credenciales o instalar software malicioso. Los sistemas automatizados examinan factores como el dominio de destino, las redirecciones, la reputación conocida de la dirección y la semejanza con páginas legítimas. El análisis no juzga solo el texto: intenta anticipar qué ocurrirá al hacer clic.

Ese escrutinio tiene motivos sólidos. Los correos fraudulentos actuales pueden estar bien redactados, imitar procesos de una empresa y apoyarse en páginas que se parecen mucho a las originales. A veces el enlace pasa por varios destinos antes de llegar al sitio final; otras, utiliza servicios reales como parte de una cadena engañosa. Una dirección que parece normal a primera vista puede ocultar una ruta diseñada para confundir tanto al usuario como a los controles de seguridad.

El reverso es que los enlaces legítimos también pueden tener estructuras complejas. Las plataformas de firma electrónica, los sistemas de tickets, los servicios en la nube y las herramientas de seguimiento de campañas suelen utilizar dominios o redirecciones que no coinciden con la web principal de la organización. Si un detector aprende que ciertas características suelen aparecer en campañas maliciosas, pero no distingue bien el contexto, una señal estadística puede convertirse en un falso positivo: una alerta equivocada sobre una comunicación inocua.

Phishing: suplantación, confianza y rutina

El phishing es una forma de engaño en la que alguien se hace pasar por una entidad o persona conocida para conseguir que el destinatario revele información, entregue dinero o abra la puerta a una cuenta o dispositivo. El correo es un vehículo especialmente eficaz porque forma parte de las rutinas de trabajo: llegan facturas, avisos, documentos compartidos y mensajes de compañeros. El atacante aprovecha esa familiaridad y añade una razón para actuar deprisa, como una entrega pendiente o una supuesta incidencia de acceso.

Los intentos más burdos todavía pueden delatarse por errores, remitentes extraños o peticiones desproporcionadas. Pero la suplantación moderna también imita el tono de una empresa, reproduce logotipos y se apoya en servicios conocidos. Por eso el sistema de defensa no puede depender solo de cómo está escrito el mensaje. La identidad aparente del remitente y el destino de los enlaces también cuentan, aunque ninguna señal aislada permita decidir siempre si un correo es malicioso.

Hay un matiz importante: que un filtro marque un mensaje como phishing no demuestra por sí solo que el remitente sea un delincuente, igual que reconocer el nombre de una empresa no garantiza que el mensaje sea seguro. Una cuenta legítima puede haber sido comprometida y una página habitual puede haber sufrido cambios. La clasificación automática expresa una evaluación de riesgo, no una sentencia infalible. En febrero, el problema fue que una regla basada en URLs produjo un número de falsos positivos suficiente para afectar a comunicaciones reales.

La cuarentena convierte un error técnico en una interrupción

El correo no deseado y la cuarentena no son lo mismo en la práctica. Un mensaje enviado a spam puede seguir siendo visible para el usuario, aunque quede apartado de la bandeja principal. La cuarentena, en cambio, retiene el contenido bajo controles de seguridad y puede exigir intervención administrativa para revisarlo o liberarlo. Cuando un correo auténtico queda allí, el destinatario no siempre tiene una forma inmediata de recuperarlo, y el remitente puede no saber que el mensaje no ha llegado.

La consecuencia suele aparecer primero como una ausencia: una factura que no llega, una respuesta que nunca aparece o un documento que se esperaba durante la jornada. Después llegan los reenvíos, las llamadas y las consultas al departamento técnico, que debe comprobar si el mensaje está retenido o si existe otro problema de entrega. En una organización, el coste de un falso positivo se acumula en tiempo perdido, tareas aplazadas y decisiones tomadas con información incompleta.

El atasco también puede empujar a buscar vías alternativas. Un empleado puede reenviar un archivo mediante una cuenta personal o compartirlo por una aplicación de mensajería que la empresa no controla. Así se recupera rapidez, pero pueden perderse trazabilidad y supervisión. No significa que todos los usuarios reaccionen de ese modo ni que cada desvío cause un incidente; sí muestra por qué un fallo de filtrado puede alterar hábitos de seguridad más allá de la bandeja de entrada.

Corregir la regla sin abrir la puerta a amenazas

Cuando un filtro detecta un enlace peligroso, la solución no siempre consiste en liberar todos los correos retenidos. En la cuarentena puede haber mensajes legítimos junto a intentos reales de fraude, y una decisión general puede producir un segundo problema. La actualización del 10 de febrero señaló precisamente una dificultad adicional durante el proceso de desbloqueo de URLs válidas. La reparación debía distinguir entre lo que había sido clasificado por error y lo que convenía mantener aislado.

Por eso una respuesta de este tipo puede avanzar por etapas: ajustar el criterio, verificar que los enlaces legítimos dejan de activar la alerta y revisar qué mensajes pueden entregarse con seguridad. Desde fuera, ese ritmo puede parecer lento; desde el punto de vista del control, evita que una corrección amplia convierta una incidencia de disponibilidad en una brecha de seguridad. La prudencia es parte del remedio, aunque también prolongue la espera.

En entornos de Microsoft 365, los administradores disponen de herramientas para revisar mensajes en cuarentena y distinguir la tecnología de detección que motivó el bloqueo. También pueden enviar a Microsoft ejemplos de correo legítimo marcado por error, información que sirve para investigar y ajustar los sistemas. Estas vías no eliminan por sí solas un fallo general de una regla, pero ayudan a separar una configuración local incorrecta de una incidencia del servicio y a documentar los casos afectados.

El equilibrio entre protección y disponibilidad

Un filtro muy permisivo puede dejar pasar correos maliciosos; uno muy estricto puede ocultar mensajes que sostienen el trabajo diario. La tensión no se resuelve eligiendo una vez entre seguridad y comodidad, porque el tipo de amenaza cambia y las reglas se actualizan para seguir ese movimiento. El incidente de Exchange Online expuso el coste de una calibración errónea: la protección que debía reducir el riesgo terminó bloqueando comunicaciones legítimas.

También dejó claro que las decisiones automatizadas se propagan con rapidez en los servicios en la nube. Una regla puede desplegarse para proteger a muchos usuarios, pero un error en esa regla puede repetirse en numerosos buzones antes de que cada organización comprenda qué está ocurriendo. Esa escala es una ventaja cuando la detección acierta y una dificultad cuando falla: el mismo mecanismo que distribuye protección puede distribuir una clasificación equivocada.

La transparencia es otra parte de la respuesta. Microsoft reconoció la relación con las reglas de análisis de URLs y publicó actualizaciones del incidente, pero la información disponible no detalló una lista completa de dominios afectados ni un calendario definitivo para cada caso. Comunicar el problema permite a las empresas reconocer que no necesariamente están ante un ataque contra sus propios sistemas; aun así, la falta de un alcance preciso puede dejar a los administradores con incertidumbre sobre qué mensajes revisar.

La confianza también depende de que el correo llegue

La seguridad del correo suele medirse por las amenazas que consigue detener, pero la disponibilidad forma parte de la misma confianza. Una herramienta que bloquea ataques y, al mismo tiempo, retiene mensajes auténticos obliga a los usuarios a preguntarse si una ausencia responde a una decisión de seguridad o a un fallo técnico. Esa ambigüedad es especialmente incómoda cuando el mensaje perdido contiene una aprobación, una solicitud de un cliente o una comunicación necesaria para continuar un proceso.

El episodio de febrero no demuestra que los filtros automáticos sean inútiles ni que cualquier correo en cuarentena sea seguro. Muestra algo más concreto: las defensas que examinan enlaces dependen de reglas que pueden necesitar correcciones y de mecanismos de revisión capaces de detectar los errores. La protección eficaz no consiste solo en bloquear, sino también en distinguir y rectificar sin devolver mensajes peligrosos al circuito.

En última instancia, la paradoja está en el milímetro de diferencia entre una señal sospechosa y una prueba de fraude. Cuanto mejor imitan los atacantes el correo cotidiano, más fina debe ser la detección; cuanto más estricta se vuelve esa detección, más importa no confundir la actividad normal con una amenaza. En una bandeja de entrada empresarial, un error puede no hacer ruido: se manifiesta como un mensaje que nunca aparece y un trabajo que se queda esperando.