Cómo mejorar la seguridad de tu cuenta Microsoft y proteger tu privacidad

Proteger tu cuenta de Microsoft ya no va solo de elegir una buena contraseña: hoy en día la seguridad depende de varios factores, desde la autenticación en dos pasos hasta el control de tus datos y dispositivos. Si usas Outlook, OneDrive, Xbox, Teams, Office o Windows con tu cuenta de Microsoft, toda tu vida digital pasa por ahí, así que conviene blindarla bien.

A lo largo de esta guía vas a ver todas las opciones que Microsoft ofrece para mejorar la seguridad y la privacidad de tu cuenta, tanto para usuarios particulares como para entornos profesionales con Microsoft 365. Veremos cómo dejar de usar contraseñas, cómo sacar partido a Microsoft Authenticator, cómo configurar la verificación en dos pasos, qué ajustes tocar en la web de tu cuenta y qué cosas conviene revisar con cierta frecuencia.

Por qué dejar de usar contraseñas en tu cuenta Microsoft

El planteamiento de Microsoft es claro: las contraseñas tradicionales son uno de los puntos más débiles de la seguridad. Se pueden adivinar, robar mediante phishing, filtrar en una brecha de datos o descifrar con ataques de fuerza bruta. Por eso impulsan el inicio de sesión sin contraseña en sus cuentas.

Cuando eliminas la contraseña de tu cuenta, pasas a usar métodos de inicio de sesión sin contraseña mucho más robustos, como la app Microsoft Authenticator, Outlook para Android, Windows Hello, claves de seguridad físicas o códigos SMS. La idea es sustituir algo que sabes (una contraseña) por algo que tienes o algo que eres.

Estos métodos incluyen pruebas de autenticación dinámicas y, en muchos casos, biometría (huella dactilar, reconocimiento facial o PIN local cifrado en el dispositivo). Todo esto es mucho más difícil de robar que una clave escrita en texto.

Según Microsoft, una cuenta sin contraseña protegida con Authenticator o una clave de seguridad física es significativamente más segura que una cuenta que solo depende de una contraseña, por muy complicada que sea esta última.

Para activar el inicio de sesión sin contraseña y eliminar la contraseña, Microsoft plantea un proceso muy directo:

1. Inicia sesión en tu cuenta en la página de Opciones de seguridad adicionales (account.microsoft.com, pestaña Seguridad).
2. Busca el apartado de Cuenta sin contraseñas y selecciona la opción de activarla.
3. Completa las comprobaciones de seguridad que te pida la página (por ejemplo, un código enviado a tu móvil o a tu correo alternativo).
4. Acepta la notificación que se envía a la aplicación Microsoft Authenticator en tu teléfono para confirmar el cambio.

Desde ese momento, ya no podrás iniciar sesión introduciendo una contraseña de toda la vida. En su lugar, tendrás que usar uno de los métodos configurados: la app Authenticator, Windows Hello, una clave de seguridad compatible o los códigos que recibas en tu móvil.

Verificación en dos pasos: el segundo muro de protección

Aunque el inicio de sesión sin contraseña es el futuro, la verificación en dos pasos (MFA) sigue siendo una pieza clave para proteger tu cuenta. Básicamente añade una segunda prueba de identidad cada vez que inicias sesión desde un dispositivo que Microsoft no considera de confianza.

Con la verificación en dos pasos activa, no basta con conocer la contraseña o el usuario de la cuenta: también hay que tener acceso a un método adicional, como un código que se envía a tu móvil, a una dirección de correo alternativa o a la app autenticadora.

En palabras simples, la verificación en dos pasos consiste en que, al entrar en tu cuenta, Microsoft te envía un código de seguridad a uno de tus métodos de contacto (teléfono, correo alternativo o app). Hasta que no introduces ese código, el acceso no se completa.

Si activas esta función, es fundamental que tengas al menos dos métodos de contacto distintos configurados (por ejemplo, dos números de teléfono o un móvil y un correo alternativo). Así, aunque pierdas uno de ellos, seguirás pudiendo recuperar el acceso.

Microsoft recomienda especialmente usar Microsoft Authenticator: además de servir como segundo factor, se integra con el inicio de sesión sin contraseñas y hace de gestor de contraseñas para otros servicios, lo que te evita tener que memorizar claves imposibles.

En un entorno profesional o educativo con Microsoft 365 (Entra ID, antes Azure AD), la cosa va un poco más allá: tu organización puede exigir obligatoriamente la verificación en dos pasos, de manera que siempre se pidan dos pruebas al iniciar sesión. En estos casos, tú no puedes desactivarla, pero sí elegir los métodos que quieres utilizar:

1. Accede a mysignins.microsoft.com/security-info e inicia sesión con tu cuenta organizativa.
2. Haz clic en Agregar método de inicio de sesión.
3. Selecciona uno de los métodos admitidos por tu empresa (app Authenticator, teléfono, clave de seguridad, etc.).

En definitiva, si alguien consigue tu contraseña pero no tiene acceso a tu móvil ni a tus métodos de verificación, se quedará fuera de tu cuenta aunque lo intente una y otra vez.

Qué hacer si olvidas la contraseña o pierdes el acceso

Cuando tienes activada la verificación en dos pasos, el proceso de restablecer la contraseña cambia ligeramente. Ya no basta con que te envíen un código a un único método de contacto, ahora te pedirán dos comprobaciones distintas.

Para poder resetear la contraseña en este escenario, es necesario que tengas dos vías de contacto actualizadas en la información de seguridad: números de teléfono alternativos y/o direcciones de correo de recuperación que agregaste cuando activaste la verificación en dos pasos.

Dependiendo de lo que hayas configurado, puede que te pidan primero un código de la app autenticadora y luego otro que te envían a tu correo alternativo. Hasta que no confirmes las dos cosas, el sistema no te dejará crear una clave nueva.

Para iniciar el proceso, tienes que ir a la herramienta habitual de Microsoft para restablecer la contraseña de tu cuenta. La diferencia, con respecto a una cuenta sin verificación en dos pasos, es que en vez de un solo código, recibirás dos códigos en métodos de contacto distintos.

Si lo que quieres es cambiar, añadir o actualizar el correo o número al que llegan los códigos, debes entrar en la página de Información de seguridad y códigos de verificación y la copia de seguridad en Microsoft Authenticator. Desde ahí puedes reemplazar datos antiguos, borrar los que ya no uses y agregar nuevos para no quedarte nunca sin opciones de recuperación.

Mensajes tipo “Vamos a proteger tu cuenta” y comprobaciones adicionales

Es bastante habitual que, al iniciar sesión, Microsoft te muestre un aviso del tipo “Vamos a proteger tu cuenta” o “Ayúdanos a proteger tu cuenta”. No es un error: es una protección adicional para asegurarse de que realmente eres tú quien intenta acceder.

En estos casos, la plataforma te pedirá que añadas un dato de contacto adicional, como una dirección de correo alternativa o un número de teléfono, para poder enviarte un código. No hace falta que sea tu número principal; puede ser cualquier medio al que tengas acceso en ese momento.

El proceso suele ser el siguiente:

1. Escribes un correo electrónico alternativo o un número de teléfono que controles.
2. Pulsas en Siguiente para que se envíe el código a ese método.
3. Recuperas el código desde ese correo o móvil y lo introduces en el formulario.
4. Haces clic en Verificar y, si todo coincide, la cuenta queda protegida con este nuevo dato.

En otras ocasiones, cuando inicias sesión, puede que simplemente te pidan una prueba extra de identidad usando alguno de los datos que ya tienes configurados. Te mandan un código y, al introducirlo, se confirma que eres tú.

Si tienes problemas para recibir códigos (no llega el SMS, el correo acaba en spam o algo parecido), Microsoft cuenta con una guía específica de solución de problemas con estos códigos de verificación que te ayuda a revisar cada punto: operador de móvil, filtros de correo, configuración de la cuenta, etc.

Buenas prácticas básicas: contraseñas, gestores y Authenticator

Más allá de las funciones avanzadas, hay una serie de hábitos básicos que siguen siendo importantísimos para la seguridad de tu correo y de toda tu cuenta Microsoft, sobre todo si usas direcciones del tipo Outlook.com o Hotmail.

Lo primero es la contraseña (si sigues usando una): evita por completo usar palabras sueltas y opta por frases largas que puedas transformar en una combinación de iniciales, números y símbolos. Y, por supuesto, nada de contraseñas típicas ni fechas de cumpleaños ni patrones obvios.

También es clave que no repitas la misma contraseña en varios servicios. Si una sola web sufre una filtración y se expone tu clave, todas tus otras cuentas con esa misma contraseña podrían caer como fichas de dominó.

Como recordar muchas claves largas es una misión imposible, lo mejor es tirar de gestores de contraseñas. Microsoft ofrece su propio sistema integrado en Microsoft Authenticator y en sus navegadores y extensiones.

La app Microsoft Authenticator tiene dos funciones muy potentes: actúa como herramienta para verificación en dos pasos e inicio de sesión sin contraseña en tu cuenta de Microsoft, y también sirve como gestor para guardar contraseñas de otros servicios. Además, se integra con el navegador (Edge, y a través de extensión también con Chrome), de modo que completa credenciales automáticamente.

Si activas el inicio de sesión sin contraseña, en lugar de escribir la clave cada vez, introduces solo tu nombre de cuenta y autorizas el acceso desde Authenticator con una contraseña numérica dinámica que se genera en tu móvil. Quien quiera robarte la cuenta necesitaría acceso físico a tu dispositivo y a esa app, no solo un conjunto de letras.

Configurar la privacidad y la seguridad desde account.microsoft.com

Además de los métodos de inicio de sesión, Microsoft ofrece varios apartados en account.microsoft.com para gestionar la privacidad y el uso de tus datos. Aunque no tiene tantas opciones como Google, conviene repasarlas todas con calma.

Para empezar, en la parte superior de la web verás diferentes pestañas; la que más te interesa en este contexto es Seguridad, y dentro de ella la sección de Seguridad adicional. Ahí es donde puedes activar tanto la verificación en dos pasos como el sistema de inicio de sesión sin contraseña.

Luego está la pestaña de Privacidad, donde Microsoft agrupa varios tipos de historial y datos vinculados a tu cuenta: ubicaciones, historial de navegación con Edge, búsquedas de Bing, uso de aplicaciones y servicios, así como la opción de gestionar anuncios personalizados.

Ubicación, navegación, búsquedas y uso de aplicaciones

En el apartado de privacidad, uno de los puntos más delicados es el de la actividad de ubicación. Microsoft registra las posiciones que envían tus dispositivos cuando utilizan servicios de la compañía, normalmente a través del GPS o de otros sensores.

Si entras en Privacidad > Actividad de ubicación, verás un mapa y una lista con los lugares que se han asociado a tu cuenta. Desde esta misma página puedes borrar todo el historial o descargarlo si quieres conservar una copia.

La empresa indica que estos datos llegan a sus servidores sin información directa que identifique al dispositivo, pero siguen vinculados a tu cuenta. Si no quieres que se recojan, tendrás que desactivar los servicios de ubicación en Windows (en Configuración > Privacidad y seguridad) y negar permiso de localización a las apps de Microsoft en tu móvil.

Eso sí, si desactivas la ubicación, perderás funciones que dependen de saber dónde estás, como ciertos resultados de búsqueda locales, clima preciso o mapas más ajustados a tu zona.

Otro apartado importante es el historial de exploración, donde Microsoft almacena el listado de páginas que visitas con Microsoft Edge mientras estás identificado con tu cuenta. Desde la web de privacidad puedes ver qué sitios has visitado, cuántas veces y en qué fechas, descargar la información y borrar entradas concretas o todo el historial.

Si no quieres que se recopilen estos datos, tienes dos caminos: o bien dejas de usar Edge, o bien configuras perfiles en Microsoft Edge o configuras el navegador para que borre de forma automática el historial al cerrarse (en Configuración > Privacidad, búsqueda y servicios > Elegir qué se debe borrar cada vez que se cierra el explorador).

También se guarda un historial de las búsquedas que haces en Bing, accesible desde la sección de Privacidad bajo el apartado Historial de búsqueda. Ahí puedes consultar qué has buscado y cuándo, descargarlo y borrar lo que no quieras conservar.

Lo problemático aquí es que no existe una opción para desactivar por completo la recopilación de este historial desde la configuración estándar. Así que, si te preocupa mucho este punto, la única salida es borrar los datos de forma periódica o usar otro buscador más respetuoso con la privacidad, como DuckDuckGo, aunque los resultados quizás no sean tan precisos como los de Bing o Google.

Por último, Microsoft registra también la actividad de las aplicaciones y servicios que utilizas en dispositivos como tu PC con Windows o la consola Xbox. En la web de privacidad verás un historial ordenado por día y hora con las apps que has abierto.

El problema es que, de nuevo, no hay una forma oficial de evitar que se envíen estos datos. Vienen incluidos dentro de los datos de diagnóstico básicos del sistema. Lo único que te queda es borrar el historial con cierta frecuencia desde la configuración de tu cuenta.

Además de esta lista visible, con los datos de diagnóstico del sistema Microsoft puede recopilar información de rendimiento y uso de servicios, lo que permite inferir qué aplicaciones usas en cada momento. Este historial no es visible para ti, pero en la sección de privacidad tienes un botón para borrar manualmente estos datos cuando quieras.

Configurar privacidad en productos concretos: Windows, Xbox, Office y más

La cuenta de Microsoft funciona como un paraguas que cubre muchos servicios distintos, así que no basta con modificar los ajustes en una sola página. Hay que revisar la configuración de privacidad de cada producto que uses: Windows, Xbox, Office, Teams, Skype, LinkedIn, etc.

En Windows 10 y Windows 11, la mayoría de las opciones se encuentran en Configuración > Privacidad y seguridad. Desde ahí puedes desactivar o limitar la recopilación de datos de diagnóstico, el acceso a la ubicación, el uso del micrófono y la cámara, el reconocimiento de voz en línea, la personalización basada en diagnósticos y muchas otras opciones.

Eso sí, cada ajuste que desactives puede implicar que pierdas alguna característica. Por ejemplo, si bloqueas por completo la ubicación, ninguna aplicación sabrá dónde estás y algunas funciones dejarán de tener sentido.

En Xbox, la configuración de privacidad se gestiona desde la web account.xbox.com/es-es/Settings. Ahí puedes definir quién puede ver tu perfil, tu lista de amigos, tu actividad y quién puede comunicarse contigo. Si haces tu perfil muy cerrado, ganas privacidad, pero también pierdes muchas herramientas sociales y de multijugador.

En Office, la página relevante es account.microsoft.com/privacy/data-settings, donde encontrarás la Configuración de privacidad de Office. Desde ahí puedes desactivar:

• Experiencias que analizan contenido (por ejemplo, sugerencias inteligentes basadas en lo que escribes).
• Datos de diagnóstico opcionales que se envían a Microsoft para mejorar el producto.
• Experiencias que cargan contenido online, como ciertas plantillas o ayudas que tiran de la nube.

Cada opción que desmarques reduce la cantidad de información que sale de tu equipo, pero también puede limitar algunas funciones avanzadas del paquete Office.

En Teams, el margen de maniobra a nivel de cuenta personal es menor: básicamente puedes solicitar y descargar los datos que Teams tiene sobre ti, pero la configuración fina la suele controlar el administrador de tu organización; además, conviene revisar ajustes de seguridad para videollamadas relacionados con permisos y grabaciones.

En Skype, dentro de la propia app, tienes un apartado de Privacidad donde puedes desactivar la recopilación de muestras de llamadas de voz para mejorar el reconocimiento y el uso compartido de la ubicación. Microsoft también ofrece guías específicas para retocar la privacidad de Skype paso a paso.

Por último, LinkedIn (propiedad de Microsoft) tiene su propia sección de configuración de privacidad, accesible desde la web cuando inicias sesión. Ahí puedes gestionar cómo se usan tus datos, tu historial de búsquedas, la visibilidad de tu actividad y si socios de terceros pueden acceder a tu información para estudios internos o análisis.

Desactivar anuncios personalizados en tu cuenta Microsoft

Por defecto, Microsoft utiliza parte de la información que recopila sobre ti para mostrar anuncios personalizados en sus servicios y aplicaciones. Puedes desactivar esto desde cada dispositivo o aplicación, pero también tienes una manera centralizada desde tu cuenta.

Si entras en account.microsoft.com/privacy/ad-settings, accederás directo a la configuración de anuncios personalizada de tu perfil. En esa pantalla verás un interruptor general.

Solo tienes que desactivar el botón de Encendido para que Microsoft deje de basar sus anuncios en los datos asociados a tu cuenta. Seguirás viendo publicidad, pero será menos personalizada y no tan ajustada a tus hábitos.

Revisar y revocar acceso a aplicaciones y juegos

Cuando instalas apps y juegos que usan tu cuenta de Microsoft o de Xbox Live, muchos te piden permiso para acceder a ciertos datos básicos de tu perfil: nombre, gamertag, alias, lista de amigos e incluso tu dirección de correo, según el caso.

Esto tiene ventajas (por ejemplo, guardar tus partidas en la nube o sincronizar ajustes entre dispositivos), pero también implica que esas aplicaciones puedan seguir accediendo a información sobre ti aunque ya no las uses.

Para revisar qué apps tienen permiso, debes entrar en account.live.com/consent/Manage. Ahí verás una lista con todas las aplicaciones y juegos que tienen acceso a tu perfil de Microsoft.

En cada una podrás ver la fecha del último acceso a tus datos, lo cual es muy útil para detectar apps antiguas que llevan años sin usar pero aún conservan permisos y para saber qué mirar tras un incidente de ciberseguridad en tu empresa.

Si haces clic en Editar en cualquiera de ellas, se abrirá una página detallando exactamente a qué información tiene acceso esa app. Si no te convence o ya no la utilizas, puedes pulsar en Quitar estos permisos para revocar el acceso de inmediato.

Ten en cuenta que, la próxima vez que vuelvas a usar esa aplicación o juego, probablemente te vuelva a pedir permiso, ya que necesita esos datos para funcionar correctamente. Aun así, es una buena costumbre revisar periódicamente esta lista y dejar solo lo que realmente usas.

Seguridad en entornos Microsoft 365: Score de seguridad y victorias rápidas

En escenarios profesionales con Microsoft 365 (Business Premium, Business Standard con complementos, Defender para Office 365, Defender for Business, etc.), entra en juego el Microsoft Secure Score, una métrica que indica el nivel de configuración de seguridad de tu entorno.

Muchas organizaciones se plantean cómo subir su puntuación desde valores alrededor de 50-60 hasta 70 o más sin romper la experiencia de usuario en un entorno de producción. Aquí entran en juego las llamadas “victorias rápidas”.

Entre las acciones que suelen dar un buen empujón a la puntuación con un riesgo moderado si se aplican con cuidado, destacan:

• Desactivar la autenticación heredada (POP, IMAP, SMTP Auth, etc.), empezando por grupos piloto para comprobar compatibilidades.
• Activar el registro de auditoría en el centro de cumplimiento para tener trazabilidad de acciones de usuario y administrador.
• Endurecer las políticas de Defender para Office 365 (Enlaces seguros, Archivos adjuntos seguros y anti-phishing) con plantillas estándar.
• Aplicar MFA “por defecto” a la mayoría de cuentas mediante políticas de acceso condicional (especialmente administradores y usuarios con información sensible).
• Seguir las recomendaciones de Defender for Business para dispositivos, como activar la protección en tiempo real, reducción de superficie de ataque y aislamiento controlado.

Eso sí, en entornos reales conviene no activar a ciegas todas las recomendaciones del Score de seguridad. Algunas pueden romper integraciones con aplicaciones antiguas, flujos de correo muy específicos o dispositivos que aún dependen de protocolos heredados.

La práctica habitual entre administradores es priorizar las acciones con mayor impacto en seguridad y en el Score, e introducir cambios más radicales (como bloqueos más agresivos o requerir MFA en cada inicio) primero en grupos piloto antes de desplegarlos a toda la organización; también suele incluir medidas como aplicar etiquetas de confidencialidad en documentos para proteger información sensible.

Al final, tanto para usuarios domésticos como para empresas, la clave está en combinar métodos modernos de autenticación (sin contraseña o con MFA), una buena higiene de datos y un control periódico de permisos y actividad. Con eso, tu cuenta de Microsoft pasa de ser un punto débil a un punto fuerte de tu seguridad informática empresarial.