La caída de Microsoft revela la vulnerabilidad de la dependencia tecnológica mundial

La caída de muchos de los servicios que presta la multinacional tecnológica Microsoft pone de relieve, según los expertos consultados por EFE, la vulnerabilidad que genera la dependencia tecnológica mundial de un grupo de proveedores muy reducido.

Microsoft 365, la plataforma de esta empresa bajo la que funcionan herramientas como Outlook, Teams, Word o Excel, continúa hoy con fallos que dificultan a los usuarios acceder al correo electrónico, gestionar reuniones y utilizar el asistente de inteligencia artificial.

Varios expertos subrayaron que aunque los síntomas iniciales de una interrupción operativa pueden a veces confundirse con un ciberataque de 'denegación de servicio', las incidencias provienen en muchos casos de errores de configuración o fallos de infraestructura; la propia empresa descartó de momento que los fallos tengan origen en alguna actividad maliciosa.

Esta situación demuestra, según los expertos consultados por EFE, que muchas organizaciones carecen de planes de contingencia adecuados para sobrellevar la paralización simultánea de herramientas esenciales como el correo o las plataformas de comunicación.

Y ante este panorama destacaron la necesidad "urgente" de potenciar la ciberresiliencia empresarial mediante sistemas alternativos y copias de seguridad probadas, así como de fomentar la soberanía digital europea para reducir la excesiva dependencia de infraestructuras extranjeras y garantizar la continuidad de los servicios esenciales.

Las mismas consecuencias que un ataque informático

El responsable de Operaciones Globales de Consumo de la empresa de ciberseguridad Panda Security, Hervé Lambert, apuntó -tras descartar el ataque- que lo más "interesante" de este incidente es que se pone de manifiesto que un problema interno de infraestructura puede tener consecuencias operativas tan graves como las de un ataque informático.

En declaraciones a EFE, Lambert aseveró que la concentración de servicios tecnológicos en un número reducido de proveedores representa uno de los grandes desafíos para la continuidad de negocio en todo el planeta, y observó que muchas empresas utilizan una misma plataforma para gestionar el correo electrónico, almacenar documentos, celebrar reuniones, compartir información y coordinar a sus empleados.

Así, lo que puede ser una solución eficiente desde el punto de vista operativo de una empresa puede generar a su juicio dependencia si esa plataforma deja de funcionar, y una incidencia técnica externa puede acabar convirtiéndose en una crisis operativa interna.

"Una organización puede tener sus sistemas perfectamente protegidos frente a los ciberdelincuentes y, aun así, quedarse sin capacidad para comunicarse con sus clientes, acceder a determinados documentos o continuar sus procesos habituales", señaló el responsable de la empresa de ciberseguridad informática.

Las empresas deben asumir que ningún proveedor, por grande que sea, puede garantizar una disponibilidad absoluta de sus servicios, manifestó Lambert, e incidió en que no se trata de renunciar a los grandes proveedores tecnológicos, sino de conocer las dependencias que generan y evaluar qué ocurriría si alguno de sus servicios esenciales dejara de estar disponible durante varias horas.

Su propuesta: que las empresas, además de implementar las estrategias de ciberseguridad, se preparen también para situaciones en las que la tecnología deje de funcionar, independientemente de que la causa sea un ciberataque, un error humano, una actualización defectuosa o una incidencia en un proveedor externo.

"La ciberresiliencia consiste precisamente en eso: no solo en prevenir los incidentes, sino en reducir su impacto, mantener las operaciones esenciales y recuperar la normalidad lo antes posible.", destacó a EFE.

Los problemas de la 'monocultura' digital

Rubén Bellido, profesor de ciberseguridad en Deusto Formación -un centro de formación especializado en el ámbito tecnológico- explicó que la empresa todavía no ha explicado la causa 'raíz' del problema, aunque precisó que el patrón es conocido: "lo habitual en caídas así es un cambio de configuración que se propaga a escala, como el de Azure Front Door, la puerta de entrada de su red, en octubre de 2025".

En declaraciones a EFE, Bellido aconsejó a las empresas que se vean afectadas "que no toquen los equipos", aseguró que reinstalar Outlook o cambiar contraseñas no sirve de nada en este caso, y recomendó pasar 'a un plan B' de comunicación, y en ese sentido dar prioridad al teléfono y avisar a los clientes por esa vía en lugar de usar el correo.

Y incidió en prestar mucha atención a los mensajes que piden volver a iniciar sesión, "porque tras caídas grandes suelen llegar correos falsos que se hacen pasar por Microsoft", y de cara al futuro en tratar el correo electrónico como una de las infraestructuras críticas en la empresa.

"Lo imprescindible debe ser accesible sin conexión y disponer un canal que no dependa del mismo proveedor; y tenerlo además ensayado, porque un plan que nadie ha probado no aguanta un viernes como este", consideró.

Eusebio Nieva, director técnico Check Point Software para España y Portugal, precisó que el fallo en Microsoft se suma a otros incidentes que se han sucedido durante los últimos meses y alertó de que abre la puerta a ciberataques mediante falsos mensajes de soporte, enlaces de recuperación y fraudes de pago.

"Hemos creado una monocultura digital", según Nieva, que aseguró que demasiadas empresas dependen del mismo grupo reducido de proveedores para el correo y la verificación de acceso, y cuando ambos fallan a la vez, se pierde el acceso a servicios que parecen independientes, "mientras los delincuentes aprovechan la confusión".

La resiliencia exige contar con sistemas de comunicación y verificación de identidad que no dependan del mismo proveedor, para que un solo fallo no lo interrumpa todo, explicó el responsable de esta empresa, que aconseja no desactivar la autenticación multifactor ni otros controles, verificar cualquier petición de cambiar de contraseñas o pagos, habilitar una vía de comunicación alternativa, y advertir al personal de que no debe iniciar sesión desde ningún enlace de 'recuperación'.