Microsoft publicó los resultados de su última comparación trimestral de seguridad del correo electrónico y afirmó que Microsoft Defender no detectó el menor número de amenazas de alto riesgo entre las soluciones evaluadas durante el periodo de mayo a julio de 2026. Según las cifras de la empresa, se pasaron por alto 221 amenazas por cada 1.000 usuarios protegidos, es decir, un 55,4 % menos que el competidor más cercano entre los proveedores de puertas de enlace de seguridad del correo electrónico (SEG).
La comparación se basa en la medición de las amenazas que no fueron detectadas, en lugar de contabilizar el total de mensajes maliciosos interceptados. Microsoft justifica este enfoque porque el número de mensajes capturados puede verse afectado por las diferencias en el volumen de amenazas y el nivel de exposición de los entornos de cada proveedor. Según la empresa, normalizar la medición por cada 1.000 usuarios tiene como objetivo ofrecer una comparación más coherente entre las soluciones.
¿Qué miden realmente los resultados?
El análisis no se limita a la fase de impedir que el mensaje llegue a la bandeja de entrada. La comparación de Microsoft también incluye soluciones integradas de seguridad del correo electrónico en la nube (ICES), que combinan el filtrado previo a la entrega con la detección y la remediación posterior a la entrega. La empresa afirma que Defender detectó, en promedio, el 92 % de los mensajes maliciosos después de su entrega durante el periodo de medición.
Los resultados de ICES indican que el mayor valor adicional de la protección multicapa apareció en el filtrado de mensajes promocionales y mensajes enviados a gran escala. La tasa de captura de mensajes maliciosos de los proveedores de ICES también aumentó hasta el 0,30 %, frente al 0,13 % del trimestre anterior, mientras que la tasa de captura de mensajes no deseados subió al 0,52 %, frente al 0,28 %.
Microsoft explica que la remediación posterior a la entrega no es una acción que se ejecuta una sola vez después de que el mensaje llegue al usuario. Según la descripción de la empresa, Defender vuelve a evaluar los mensajes presentes en los buzones cuando aparecen nueva inteligencia, indicadores de riesgo o información relacionada con una campaña de ataque, y posteriormente procesa los mensajes cuyo riesgo se confirma.
¿Por qué es importante esta noticia?
La importancia de estas cifras radica en que trasladan la evaluación de la seguridad del correo de la pregunta «¿Cuántos mensajes fueron bloqueados?» a otra más precisa: «¿Cuántas amenazas de alto riesgo llegaron al usuario o permanecieron sin ser detectadas?». No obstante, la comparación sigue estando vinculada al alcance de las soluciones seleccionadas por Microsoft y a la metodología de medición que la empresa presentó en el análisis, por lo que las cifras por sí solas no bastan para juzgar la experiencia de cada organización o cada tipo de mensaje.
Microsoft afirma que las amenazas no detectadas aumentaron a lo largo de varios periodos de medición, incluso en el caso de Defender. La empresa considera que esto es coherente con el uso de la inteligencia artificial por parte de los atacantes para recopilar información pública, personalizar mensajes y redactar intentos de suplantación más convincentes. Esta observación no significa que la inteligencia artificial explique todos los casos de fallo, pero pone de relieve la necesidad de una defensa que se adapte a las nuevas señales en lugar de depender únicamente de reglas fijas.
¿Cómo se reflejaron los resultados en Defender?
Microsoft relaciona los resultados de la medición con algunas inversiones recientes en Defender. La empresa añadió la carpeta Promotions en Outlook tras observar que las soluciones ICES obtienen grandes beneficios en el filtrado de mensajes promocionales y mensajes masivos, manteniendo los mensajes de marketing legítimos disponibles para el usuario en lugar de mezclarlos con mensajes maliciosos o no deseados.
La empresa también rediseñó su pila de modelos de aprendizaje automático e inteligencia artificial, incorporando señales de procesamiento del lenguaje natural, incluido el asunto del mensaje, junto con otras señales de detección. Microsoft afirma que una medición realizada por su equipo de investigación durante cuatro semanas consecutivas mostró una reducción cercana a dos tercios en los casos de fallo de detección de amenazas y una disminución cercana a una quinta parte en las alertas positivas falsas entre los clientes de Defender. Estos porcentajes se presentan como el resultado de una observación realizada por Microsoft, y el análisis no incluyó detalles independientes sobre el conjunto de pruebas ni sobre el diseño de la comparación.
Protección de los usuarios y de los sistemas que leen el correo
La última incorporación va más allá del usuario humano, ya que Microsoft afirma haber desarrollado una protección contra la inyección de instrucciones para detectar y aislar instrucciones maliciosas dirigidas a sistemas de inteligencia artificial antes de la entrega. La empresa relaciona esta protección con la expansión de Copilot, los agentes y otros sistemas que pueden leer el contenido de la bandeja de entrada y actuar en función de él.
En la práctica, esto amplía el alcance de la seguridad del correo: ya no se trata únicamente de impedir el phishing o el malware, sino también de examinar las instrucciones que podrían explotar un sistema inteligente que interactúa con los mensajes. Sin embargo, el análisis no ofrece detalles técnicos sobre el mecanismo de aislamiento ni sobre las tasas de detección de los ataques de inyección de instrucciones, lo que deja abiertas preguntas sobre cómo evaluar esta protección fuera de las pruebas de Microsoft.
Conclusión editorial
La comparación ofrece un indicador importante de que la seguridad del correo ya no consiste únicamente en una capa de prevención previa a la entrega. Los resultados presentados por Microsoft sitúan la remediación continua después de la llegada del mensaje, el filtrado multicapa y la mejora de los modelos entre los elementos esenciales de la protección. Al mismo tiempo, las cifras deben leerse como resultados de un benchmark publicado por la propia empresa, no como una certificación independiente y exhaustiva del rendimiento de Defender en todos los entornos. El valor más claro para las organizaciones está en la metodología: supervisar los mensajes después de su entrega, medir las amenazas no detectadas por usuario y revisar la capacidad del sistema para adaptarse a campañas de suplantación que cambian rápidamente.