ANÁLISIS
Microsoft 365 parado más de un día: qué significa un fallo no malicioso para quien asume el riesgo cyber
Desde el 12 de noviembre de 2026 un fallo en los servidores de Microsoft 365 ha detenido Outlook, Exchange Online y otros servicios en al menos 74 países, sin indicios de ataque. El análisis: por qué muchas pólizas cyber no se activan, periodo de espera y cuantificación, el cúmulo en el proveedor único y preguntas para las renovaciones.
Análisis del 13 de noviembre de 2026, con la interrupción todavía en curso · por cybercoverinsurance
El jueves 12 de noviembre de 2026, hacia las 17:30 hora de Londres, Outlook, Exchange Online y otros servicios de Microsoft 365 dejaron de funcionar para millones de usuarios, primero en América y después en otras regiones. El 13 de noviembre la recuperación estaba en marcha pero no era completa: Microsoft señalaba mejoras en Norteamérica y Europa y advertía de que los problemas intermitentes podían continuar. Según Microsoft no hay indicios de actividad maliciosa.
Para el mercado asegurador el caso es un nuevo ejemplo de fallo no malicioso de un gran proveedor, poco más de dos años después de CrowdStrike. La primera estimación de Morningstar DBRS sitúa las pérdidas aseguradas globales entre 300 y 500 millones de dólares. La pregunta para quien asume el riesgo cyber es qué pólizas responden realmente a una parada que no nace de un ataque, y cuánto pesa la dependencia de un único proveedor de correo y colaboración.
Lo que se sabe
El inicio. Según TechRadar, los avisos en Downdetector aumentaron hacia las 12:30 hora del este de Estados Unidos del 12 de noviembre, con más de 131.000 avisos para Outlook en el pico. La interrupción alcanzó al menos 74 países. Microsoft registró los incidentes EX1550543 y MO1550821 en el centro de administración de Microsoft 365 (TechRadar).
La causa declarada. Microsoft atribuyó el problema a una carga elevada en varias regiones, debida a un gran número de servidores que quedaron inesperadamente indisponibles, no a un aumento del tráfico. Suspendió todos los despliegues, desplazó el tráfico, reinició los servidores afectados y dijo que algunas acciones no habían dado el alivio esperado (ABC News). Según ABC Australia, Microsoft señaló después un proceso central de los servidores que se saturaba y revirtió un cambio reciente de configuración de red que consideraba posible causa (ABC Australia).
Los servicios. La página de estado de Microsoft incluía Exchange Online, Teams, SharePoint Online, Copilot para Microsoft 365 y Defender XDR (TechRadar). ABC Australia cita también Planner, To Do, Intune, Purview, Power BI, Power Apps y Universal Print, con el acceso directo a los archivos de SharePoint todavía operativo.
Los efectos. El Departamento de Emergencias de Nueva York advirtió de posibles retrasos en los servicios online de las agencias municipales (ABC News). En Australia se vieron afectados, entre otros, la policía federal, el tribunal online de fianzas de Nueva Gales del Sur y Canberra Health Services, sin impacto clínico conocido; el gobierno australiano activó un acuerdo con Microsoft para obtener soporte prioritario (ABC Australia). En el Reino Unido ayuntamientos y fuerzas policiales pidieron llamar por teléfono en lugar de escribir (TechRadar). En Toronto el St. Michael's Hospital declaró un «code grey», la alerta interna por fallo de infraestructuras (Insurance Business).
La recuperación. El 13 de noviembre Microsoft informó de «progresos alentadores», con la capacidad aún no normalizada y el tráfico reintroducido con cautela. Amplió a 48 horas la ventana de espera de los correos para que los mensajes retrasados no se pierdan (TechRadar).
Lo que no se sabe. La duración total, la causa definitiva y el número de organizaciones afectadas aún no se conocen.
Las pólizas cyber que no se activan
Hace falta un ataque, o al menos la sospecha. Joe Hershewe, responsable de siniestros de Bellrock Advisory en Sídney, observa que la mayoría de los textos cyber requieren una vulneración real o sospechada para activarse, y duda de que los asegurados afectados superen ese umbral (Insurance Business). Un fallo de un proveedor sin intrusión queda fuera de la garantía principal.
El fallo de sistema es una extensión, no la regla. Algunas pólizas cubren también la interrupción por fallo no malicioso, propio o de un proveedor. Hershewe señala que existen coberturas para eventos generalizados, con criterios propios, pero no son estándar en los textos para medianas empresas (misma fuente). Para quien asume el riesgo, el caso Microsoft es el momento de comprobar cuántos asegurados tienen realmente esta extensión y con qué límites.
El proveedor debe estar incluido. La interrupción contingente cubre la parada de un proveedor, pero a menudo solo para proveedores nombrados o categorías concretas, como los proveedores de servicios informáticos. Un servicio cloud de correo y colaboración suele entrar en la definición, pero hay que leer el texto: algunas pólizas excluyen los fallos de infraestructuras públicas o de los grandes proveedores cloud.
El periodo de espera y la cuantificación
Las horas cuentan. Las garantías de interrupción de negocio prevén un periodo de espera, fijado en horas por la póliza, antes de que la parada sea indemnizable. Morningstar DBRS recuerda que los periodos de espera, las franquicias y los sublímites determinarán el resultado de los siniestros (Actuarial Post). Una interrupción de más de un día supera muchos periodos de espera; una recuperación desigual, región por región, hace difícil establecer cuándo terminó la parada.
Una parada parcial es difícil de medir. La caída del correo no detiene necesariamente la actividad: muchas empresas siguieron trabajando con el teléfono y los archivos compartidos. Para la pérdida de beneficios, el asegurado debe demostrar una caída de ingresos o un aumento de costes vinculado a la parada. Para los despachos profesionales el impacto puede ser alto: un consultor citado por ABC Australia estima más de 100.000 dólares por hora para las empresas de servicios profesionales, una estimación no verificada (ABC Australia).
Los gastos adicionales. Más fáciles de documentar son los gastos extraordinarios: horas extra del personal, herramientas alternativas, comunicaciones a los clientes. Muchas pólizas los cubren como gastos para reducir el daño, incluso cuando la pérdida de beneficios es discutible.
El cúmulo en el proveedor único
Una estimación prudente. Morningstar DBRS estima pérdidas aseguradas globales de 300 a 500 millones de dólares, por debajo de la horquilla de 400 millones a 1.500 millones estimada por CyberCube para CrowdStrike en 2024. La diferencia se debe a las exclusiones por fallos tecnológicos no maliciosos. Según la misma fuente, si la interrupción durase varios días el evento podría ser tan grave como CrowdStrike o peor (Actuarial Post).
La concentración en Microsoft 365. Correo, calendario, archivos, autenticación y seguridad del puesto de trabajo suelen venir del mismo proveedor. Un fallo en un componente común detiene varias funciones a la vez. Entre los servicios afectados estaba también Defender XDR (TechRadar): cuando cae la herramienta de seguridad, el asegurado está menos protegido justo cuando los estafadores aprovechan el evento.
La estafa que sigue al fallo. El banco ING advirtió a sus clientes de estafadores que se ofrecían a «arreglar» la interrupción (ABC Australia). Un fallo no malicioso puede generar siniestros maliciosos: phishing, fraude en pagos, accesos de falsos técnicos. Estos siniestros sí entran en la cobertura cyber ordinaria.
Los datos que salen del perímetro. Ali Yavari, profesor asociado de la Swinburne University of Technology, señala el riesgo de que los empleados usen cuentas personales para mover datos durante la parada (Insurance Business, edición estadounidense). Es una exposición de datos que puede aflorar semanas después, como vulneración de la confidencialidad.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Un fallo no malicioso de Microsoft 365, de más de un día en varias regiones, pone a prueba las garantías por fallo de sistema y por interrupción contingente en toda la cartera, con una primera estimación de 300 a 500 millones de dólares de pérdidas aseguradas.
En cuanto a la cartera, el caso sugiere contar cuántos asegurados tienen la extensión por fallo de sistema de proveedores cloud y con qué periodos de espera, e incluir en las pruebas de cúmulo un escenario de 24 a 72 horas sin Microsoft 365, separando las pérdidas por fallo puro de las de fraude y phishing que le siguen. La estimación final dependerá de la duración, todavía abierta.
Fuentes
- TechRadar – cronología, servicios afectados, incidentes y estado de la recuperación
- ABC News – causa declarada por Microsoft y efectos en Estados Unidos
- ABC Australia – cronología en Australia, servicios, organizaciones afectadas y estafas
- Insurance Business – por qué la mayoría de las pólizas cyber no se activan
- Insurance Business – hospitales, aerolíneas y gobiernos afectados
- Actuarial Post – la estimación de Morningstar DBRS sobre las pérdidas aseguradas