La funcionalidad Direct Send de Exchange Online es conocida desde hace tiempo. Sin embargo, en nuestros proyectos con clientes estamos observando un número creciente de configuraciones que permiten, de forma involuntaria, flujos de correo electrónico no previstos o no deseados.
La causa es sencilla: las configuraciones heredadas, que a menudo permanecen sin cambios durante años, pueden representar riesgos para la seguridad, el cumplimiento normativo y el control. Por ello, las empresas que utilizan Exchange Online como parte de su infraestructura de correo electrónico deberían revisar detenidamente su configuración.
¿Qué es Direct Send?
Direct Send permite que los sistemas de un entorno Microsoft 365 envíen correos electrónicos directamente a través de Exchange Online sin necesidad de autenticación SMTP. Originalmente, esta funcionalidad estaba pensada para dispositivos multifunción, aplicaciones y otros sistemas internos.
No obstante, dependiendo de la arquitectura y de la configuración específica de Microsoft 365, Direct Send puede hacer que algunos mensajes eludan el flujo de correo previsto. En ese momento, la organización pierde el control sobre parte de su tráfico de correo electrónico.
Cómo reducir el riesgo
Según nuestra experiencia, las siguientes medidas han demostrado ser especialmente eficaces.
1. Revisar y limitar el uso de Direct Send
En primer lugar, compruebe si Direct Send es realmente necesario en su entorno. En muchas organizaciones esta función se habilitó hace tiempo, pero ya no se utiliza activamente. Si es posible, debería limitarse o incluso desactivarse por completo.
2. Identificar claramente los mensajes legítimos
Una forma eficaz de hacerlo consiste en marcar los mensajes legítimos dentro de Exchange Online mediante un encabezado (header) personalizado y comprobar su presencia antes del envío.
Para ello, una regla de transporte puede añadir un encabezado con un valor específico y confidencial. Posteriormente, una regla de seguridad verifica la presencia de dicho encabezado. Los mensajes que no lo incluyan pueden supervisarse inicialmente y, si es necesario, bloquearse o redirigirse automáticamente mediante reglas predefinidas.
3. Como alternativa, verificar el Tenant ID de Microsoft
Otra opción consiste en utilizar el Microsoft Tenant ID presente en los encabezados de Exchange como mecanismo de autenticación.
En este caso, se comprueba que los mensajes salientes contengan el identificador de tenant esperado. Los mensajes que no superen esta validación pueden supervisarse, bloquearse o redirigirse en función de los requisitos de seguridad de la organización.
4. Obtener primero visibilidad
Antes de aplicar medidas restrictivas, es recomendable supervisar primero los mensajes potencialmente afectados.
Por ejemplo, una regla de seguridad puede reenviar inicialmente los mensajes sospechosos mediante copia oculta (BCC) a un buzón dedicado. De este modo, es posible determinar si existen mensajes enviados mediante Direct Send y en qué volumen, sin afectar al funcionamiento habitual del entorno.
Una vez obtenida suficiente información a través de la monitorización, podrán activarse las reglas descritas anteriormente.
La seguridad del correo corporativo no termina en la pasarela
La problemática de Direct Send demuestra una vez más que la seguridad de una infraestructura de correo electrónico va mucho más allá de los filtros tradicionales de spam y malware. Especialmente en entornos empresariales híbridos y basados en la nube, resulta fundamental disponer de un flujo de correo completamente controlado.
Además de revisar periódicamente Direct Send, las empresas deberían evaluar de forma continua toda su configuración de Exchange Online para garantizar que únicamente los mensajes autorizados utilicen las rutas de comunicación previstas.
Tema relacionado: Ghost Sender en Exchange Online
La problemática de Direct Send se suma a una serie de debates actuales en torno a Exchange Online. Otro ejemplo es el denominado Ghost Sender, que, en determinadas circunstancias, también puede generar flujos de correo no deseados.
Soporte para escenarios complejos de flujo de correo
Un análisis profesional de la arquitectura de correo electrónico existente, por ejemplo en el marco de los servicios de Professional Services, permite identificar posibles vulnerabilidades en una fase temprana y corregirlas mediante las medidas técnicas más adecuadas.
