Los grupos de Microsoft 365 almacenados en Entra ID son públicos o privados. Los grupos públicos representan un riesgo de seguridad porque cualquier usuario dentro del inquilino puede unirse a ellos y acceder a sus datos (chats o archivos de Teams, correos electrónicos, etc.).

Los grupos de Microsoft 365 sustentan varias aplicaciones de Office 365, en particular Microsoft Teams, donde cada equipo corresponde a un grupo de M365 asociado. Puede crear estos grupos y luego configurarlos con opciones de <a href="https://support.microsoft.com/es-es/office/learn-about-microsoft-365-groups-b565caa1-5c40-40ef-9915-60fdb2d97fa2">privacidad privada o pública</a>, que funcionan de la siguiente manera:
<blockquote>
Al crear un grupo, tendrá que decidir si quiere que sea un grupo privado o un grupo público. Cualquier usuario de la organización puede ver el contenido de un grupo público y unirse al grupo. El contenido de un grupo privado debe ser visto por los miembros del grupo y un propietario del grupo privado debe aprobar a los usuarios que quieran unirse al grupo.
</blockquote>
Los grupos públicos son más cómodos, pero también implican más riesgos, ya que cualquier usuario dentro del inquilino de la organización, incluidos los usuarios invitados, puede unirse libremente a estos grupos y acceder a los datos que contienen. Por ejemplo:
<ul>
<li>Teams: conversaciones y archivos compartidos (en realidad <a href="https://learn.microsoft.com/es-es/sharepoint/teams-connected-sites">se almacenan en un sitio de SharePoint</a>)</li>
<li>OneDrive: <a href="https://support.microsoft.com/es-es/office/create-a-new-shared-library-from-onedrive-for-work-or-school-345c8599-05d8-4bf8-9355-2b5cfabe04d0">bibliotecas compartidas</a></li>
<li>Exchange Online: <a href="https://support.microsoft.com/es-es/office/create-a-group-in-outlook-04d0c9cf-6864-423c-a380-4fa858f27102">buzón de grupo de Outlook</a></li>
<li>OneNote: notas compartidas</li>
<li>Tareas de Microsoft Planner y Microsoft To Do</li>
<li>Recursos en la nube de Azure (dado que los grupos de M365 pueden tener asignados roles de Azure)</li>
<li><a href="https://learn.microsoft.com/es-es/microsoft-365/admin/create-groups/office-365-groups">Etc.</a></li>
</ul>
Los usuarios malintencionados o curiosos pueden descubrir fácilmente grupos públicos sin necesidad de herramientas de hackeo. Por ejemplo, pueden encontrarlos a través de las funcionalidades para <a href="https://support.microsoft.com/es-es/office/find-and-join-a-team-in-microsoft-teams-9f284981-39a1-486d-b43d-ab2dcc4c1e0f">crear equipos y canales y unirse a ellos</a> en Teams, <a href="https://support.microsoft.com/es-es/office/join-a-group-in-outlook-2e59e19c-b872-44c8-ae84-0acc4b79c45d">en Outlook</a> o a través del <a href="https://myaccount.microsoft.com/groups">panel de acceso a grupos de Mis aplicaciones</a>, etc.
En Microsoft 365, los propios usuarios finales crean grupos y eligen si son públicos o privados, en general desde aplicaciones como Teams (la más común), Outlook o SharePoint, en lugar de depender de que un administrador de TI los cree, como sucede con los grupos de seguridad. Como consecuencia, los usuarios finales suelen seleccionar la opción de privacidad pública sin comprender cabalmente que esto permite que cualquier usuario dentro del inquilino de Entra de la organización se una al grupo sin requerir la aprobación de un propietario del grupo, lo que les otorga acceso a todo el contenido del grupo.
Los <a href="https://learn.microsoft.com/es-es/microsoft-365/admin/create-groups/compare-groups?#microsoft-365-groups">grupos de Microsoft 365</a>, también conocidos como “grupos unificados” y anteriormente denominados “grupos de Office 365”, son uno de los <a href="https://learn.microsoft.com/es-es/microsoft-365/admin/create-groups/compare-groups">tipos de grupos</a> que se almacenan en Entra ID. Este indicador de exposición se centra específicamente en estos grupos de Microsoft 365, en lugar de los más conocidos <a href="https://learn.microsoft.com/es-es/microsoft-365/admin/create-groups/compare-groups?#security-groups">grupos de seguridad de Microsoft Entra</a>, que no tienen las mismas opciones de privacidad pública o privada.
Limitación: este indicador de exposición (IoE) no puede determinar automáticamente si un grupo público de M365 es legítimo.
Nota: Los grupos privados también pueden exponer información confidencial si querer, ya que, de manera predeterminada, su nombre, descripción y lista de miembros son visibles para cualquier usuario dentro del inquilino de la organización. Estos metadatos por sí solos pueden ser suficientes para inferir detalles confidenciales, como el objetivo de una posible adquisición si está incluido en el nombre del grupo. Para mitigar este riesgo, Microsoft proporcionó opciones para ocultar los grupos privados de los listados de directorios y ocultar las listas de sus miembros. Sin embargo, estas opciones están deshabilitadas de forma predeterminada, por lo que las organizaciones deben habilitarlas expresamente para garantizar que los metadatos de los grupos privados se mantengan confidenciales.

Detecciones

Grupo público de M365

MEDIUM

Version 202405281050