El atajo que crea un riesgo a largo plazo
Casi todos los problemas de un buzón compartido empiezan con una frase que suena inofensiva: «Venga, usamos todos la misma contraseña».
Funciona unos días. Todo el mundo puede abrir la dirección. Nadie tiene que configurar permisos. El equipo responde a los correos desde el mismo sitio.
Luego llega la realidad. Alguien se va. La contraseña sigue guardada en su móvil. Un voluntario la copió en una nota. El navegador la recordó en el ordenador de casa. Una persona del equipo responde demasiado rápido y nadie sabe quién envió el correo. La cuenta pide una verificación, pero el teléfono de recuperación es de alguien que está de vacaciones.
El problema no es que tu equipo sea descuidado. El problema es que una contraseña compartida elimina las protecciones básicas sobre las que se construyó el correo: la identidad de cada persona, el control de accesos y saber quién responde de cada cosa.
Riesgo 1: nadie sabe quién hizo qué
Cuando todos entráis con la misma cuenta y la misma contraseña, cada acción parece hecha por la misma persona.
Si se borra un correo, no sabes quién lo borró. Si sale una respuesta con un tono equivocado, no sabes quién la escribió. Si un correo con una factura se modifica o se reenvía, no es fácil reconstruir lo que pasó.
En una pequeña empresa, eso pone en riesgo la relación con tus clientes. En un colegio o una asociación, pone en riesgo la continuidad. Quizá no necesites un sistema de auditoría complejo, pero sí saber qué persona se encargó de cada correo.
Un buzón compartido de verdad mantiene el acceso individual. El equipo sigue trabajando desde una misma dirección, pero cada persona entra con su propia cuenta. Esa es la diferencia entre trabajar en equipo y tener un punto ciego.
Riesgo 2: el acceso sigue abierto cuando la gente se va
Las organizaciones pequeñas cambian a menudo. Un empleado de temporada se marcha. Una secretaria cambia de colegio. Un voluntario deja de llevar las altas de socios. Un miembro de la junta directiva pasa el relevo a otra persona.
Si la contraseña del buzón se compartió, lo seguro es cambiarla cada vez que alguien se va. En la práctica, los equipos lo van retrasando porque es un engorro. Todos los demás tienen que actualizarla en sus dispositivos. Alguien se quedará fuera. La nueva contraseña acabará enviándose por otro canal igual de inseguro.
Así es como sobreviven los accesos antiguos.
Con el acceso delegado o una herramienta de buzón compartido, retiras a una persona sin trastocar a todo el equipo. Es más sencillo y más seguro.
Riesgo 3: la seguridad del proveedor puede bloquearte
Los servicios de correo, tanto personales como de empresa, vigilan los inicios de sesión sospechosos. Si el mismo buzón se abre desde varios dispositivos, ciudades o redes, el proveedor puede considerar ese comportamiento como un riesgo.
Entonces la cuenta puede pedir una verificación, por ejemplo un código enviado al teléfono de recuperación. Si ese teléfono es de la persona equivocada, todo el equipo puede quedarse bloqueado en el peor momento.
Para los equipos pequeños duele especialmente, porque la dirección compartida suele recibir peticiones urgentes: familias que avisan de una ausencia, clientes que piden un presupuesto, socios que envían un pago o un documento.
Lo más seguro es dejar el buzón protegido por su proveedor y que cada persona del equipo trabaje en él con sus propias credenciales.
Riesgo 4: el phishing interno y el fraude de facturas son más difíciles de detectar
El correo es donde empiezan muchas operaciones delicadas: facturas, datos bancarios, peticiones de proveedores, donativos, inscripciones, documentos personales.
Cuando todo el equipo comparte una sola cuenta, cuesta más saber de quién viene una actividad extraña. ¿Esa regla de reenvío la creó alguien del equipo o un atacante? ¿Alguien concedió un acceso adicional a propósito? ¿Por qué ha desaparecido de repente una conversación con un proveedor?
Las reglas de detección de seguridad para Microsoft 365 tratan una delegación de buzón o un cambio de permisos inesperado como una señal que conviene vigilar. Los equipos pequeños casi nunca tienen tiempo para vigilar esos detalles a mano, y por eso unos buenos hábitos de acceso importan todavía más.
El modelo más seguro: una dirección compartida, accesos individuales
No necesitas abandonar tu dirección de correo actual. El modelo seguro es sencillo:
- Mantén la dirección compartida, como la de contacto o la de secretaría.
- Deja de repartir la contraseña del buzón.
- Da a cada persona del equipo su propio acceso.
- Haz que cada correo se pueda atribuir a la persona que se encarga de él.
- Retira el acceso en cuanto alguien se vaya.
Google Workspace y Microsoft 365 ofrecen sus propios modelos de permisos. Trupeo va más allá con lo que hace falta en el día a día: decir quién se encarga de cada correo, notas para el equipo, etiquetas y un aviso cuando otra persona ya está respondiendo.
Si todavía estás decidiendo qué modelo te encaja, lee la guía completa del buzón compartido y el artículo sobre cómo compartir un buzón sin compartir la contraseña. Si ya quieres dejar atrás la costumbre de la contraseña compartida, consulta nuestros precios.
Una revisión rápida para tu equipo
Hazte cinco preguntas:
- ¿Quién conoce ahora mismo la contraseña del buzón?
- ¿Está guardada en dispositivos personales?
- ¿Puedes retirar el acceso a una persona sin cambiar nada para las demás?
- ¿Sabrías decir quién respondió a un correo delicado el mes pasado?
- ¿Seguiría recibiendo correos el equipo si la persona que tiene el teléfono de recuperación no está?
Si alguna respuesta no está clara, el riesgo ya existe. Arreglarlo ahora es mucho más fácil que reconstruir un incidente en el buzón más adelante.
Fuentes:
- Ayuda de Gmail: Delegar y colaborar en cuentas de correo: la alternativa oficial a compartir la contraseña de Gmail; un delegado puede leer, enviar y eliminar correos en tu cuenta, pero no puede cambiar tu contraseña.
- Microsoft Learn: Acerca de los buzones compartidos en Microsoft 365: el acceso al buzón compartido se da con permisos a cada persona, y Microsoft recomienda bloquear el inicio de sesión directo en la cuenta del buzón y no usar su contraseña.
- Elastic Security Docs: M365 Exchange Mailbox High-Risk Permission Delegated: una regla de detección que señala la concesión de derechos de acceso a otro buzón, porque un atacante puede usarla para enviar correos y crear reglas que esquiven la detección de spam y phishing.