Autenticación heredada (Legacy authentication)
La autenticación heredada es cualquier protocolo de acceso que envía usuario y contraseña directamente al servicio sin soportar autenticación moderna, de forma que no puede pedir un segundo factor y no la evalúa el acceso condicional. En parques de Microsoft 365 es la vía que se salta en silencio los controles que la organización cree tener desplegados.
Los protocolos implicados son los antiguos de correo y de acceso de cliente: POP, IMAP, envío por SMTP y los protocolos de cliente anteriores al acceso basado en tokens. Todos aceptan una contraseña y devuelven acceso. Como no es posible ningún diálogo interactivo, la autenticación multifactor no se puede exigir en esa ruta, y las políticas que conceden o deniegan acceso según el estado del dispositivo y la ubicación no llegan a evaluarla nunca.
Esa combinación es la razón de que sea el objetivo preferido del password spraying. Una sola contraseña común probada contra todos los buzones no produce ningún diálogo, ninguna notificación al usuario y, en muchos parques, ninguna alerta, porque el acceso se registra como un evento de protocolo y no como un inicio de sesión interactivo. Un solo acierto es un buzón legible, y un buzón legible es donde empieza el fraude de facturas.
Microsoft ha retirado la autenticación básica de casi todos estos protocolos en Exchange Online, lo que ha cerrado el caso por defecto, pero el hallazgo no ha desaparecido: el envío para aplicaciones y dispositivos se puede seguir habilitando buzón a buzón, los despliegues híbridos y locales conservan sus propias rutas, y otras plataformas tienen equivalentes. Lo que comprobamos no es si la política del tenant dice que está bloqueado, sino qué se está autenticando de verdad según los registros de acceso, y eso forma parte del trabajo de hardening de Microsoft 365 en el que estos protocolos se encuentran y se cierran.