Microsoft anuncia el fin de Exchange Web Services en Exchange Online para 2027: implicaciones y retos para la ciberseguridad empresarial
Introducción
Microsoft ha comunicado oficialmente la retirada de la API Exchange Web Services (EWS) en Exchange Online a partir de abril de 2027, clausurando así casi dos décadas de servicio. Esta decisión impactará de manera directa en la arquitectura, flujos de integración y seguridad de las organizaciones que dependen de esta API para automatización, migraciones, monitorización y operaciones de mensajería avanzadas. La transición, anunciada con antelación, tiene profundas implicaciones técnicas y operativas para departamentos de IT, equipos de seguridad y proveedores de soluciones de terceros.
Contexto del Incidente o Vulnerabilidad
EWS fue introducido en 2007 como una interfaz SOAP para acceder y manipular datos de buzones Exchange, permitiendo tanto operaciones estándar (correo, calendarios, contactos) como integraciones complejas con aplicaciones empresariales y herramientas de seguridad. Aunque Microsoft lleva años promoviendo la adopción de Microsoft Graph como API principal, EWS ha seguido siendo crítica en numerosos entornos por su flexibilidad y compatibilidad extendida.
La retirada afecta exclusivamente a Exchange Online (la versión SaaS de Exchange en Microsoft 365), mientras que Exchange Server on-premises seguirá soportando EWS, al menos por el momento. Microsoft justifica esta decisión por motivos de modernización, seguridad y eficiencia, pero el cambio podría dejar expuestas a las organizaciones que no migren a tiempo a nuevas amenazas y riesgos de cumplimiento.
Detalles Técnicos: CVE, vectores de ataque, TTP MITRE ATT&CK, IoC
Aunque el anuncio no responde a una vulnerabilidad específica (no se ha asignado un CVE concreto), EWS ha sido históricamente un vector de ataque relevante. Su extensa superficie de exposición y capacidad para realizar operaciones privilegiadas han sido aprovechadas en campañas de espionaje y exfiltración de datos. Grupos APT han explotado EWS para establecer persistencia y movimiento lateral, utilizando técnicas documentadas en matrices MITRE ATT&CK como T1078 (Valid Accounts), T1190 (Exploit Public-Facing Application) y T1114 (Email Collection).
Herramientas como Cobalt Strike, Metasploit y scripts personalizados para PowerShell han incluido módulos específicos para interactuar con EWS, permitiendo el acceso a buzones, manipulación de reglas de correo o recolección masiva de mensajes. Indicadores de compromiso (IoC) asociados incluyen patrones de acceso inusual a EWS, autenticaciones desde ubicaciones anómalas y tráfico SOAP sostenido fuera de los horarios habituales.
Impacto y Riesgos
Se estima que más del 30% de las integraciones empresariales con Exchange Online todavía dependen parcial o totalmente de EWS, según estudios de consultoras del sector. El cierre forzará la migración de miles de aplicaciones y procesos automatizados a Microsoft Graph, lo que podría derivar en interrupciones de servicio, incompatibilidades y, especialmente, en brechas de seguridad si la transición no se gestiona adecuadamente.
El riesgo más inmediato es la exposición de APIs obsoletas a ataques de día cero tras el fin del soporte, así como el incumplimiento de normativas como GDPR o NIS2 si se produce una fuga de datos relacionada con componentes desactualizados. Además, la transición a Microsoft Graph requiere revisiones profundas en los modelos de permisos, autenticación (OAuth 2.0 frente a credenciales básicas) y flujos de auditoría.
Medidas de Mitigación y Recomendaciones
Microsoft recomienda iniciar cuanto antes la auditoría exhaustiva de dependencias EWS en todos los procesos, aplicaciones y herramientas de seguridad. Es fundamental identificar todos los endpoints y scripts que utilicen EWS y planificar su migración a Microsoft Graph, priorizando aquellos con acceso privilegiado o información sensible.
Las mejores prácticas incluyen:
– Desplegar soluciones de detección y respuesta (EDR) con monitorización específica de llamadas API a EWS.
– Revisar los logs de acceso y uso de EWS, buscando patrones anómalos o accesos desde ubicaciones no autorizadas.
– Aplicar el principio de mínimo privilegio y revisar los permisos delegados asociados a EWS.
– Formar a los equipos de desarrollo y operaciones en los nuevos esquemas de autenticación y permisos de Microsoft Graph.
– Planificar pruebas de penetración orientadas a APIs en la nueva arquitectura.
Opinión de Expertos
Analistas de ciberseguridad y CISOs coinciden en que la retirada de EWS representa tanto una oportunidad como un desafío. Según Enrique Serrano, consultor de seguridad cloud: “La modernización forzosa hacia Microsoft Graph mejorará la seguridad estructural, pero sólo si se acompaña de una gestión del cambio rigurosa y una auditoría exhaustiva de integraciones heredadas”.
Por su parte, equipos de SOC advierten del previsible aumento de actividad maliciosa dirigida a endpoints EWS durante la fase de transición, explotando potenciales lagunas en el monitoreo y la gestión de credenciales.
Implicaciones para Empresas y Usuarios
Las organizaciones deberán revisar sus contratos de soporte y cumplimiento, especialmente en sectores regulados que exigen trazabilidad y control de accesos (financiero, salud, administración pública). El uso continuado de EWS tras la fecha de retirada podría suponer sanciones bajo GDPR o la nueva directiva NIS2, además de riesgos operativos.
Para los usuarios finales, la transición debería ser transparente, aunque podrían experimentarse cambios en las funcionalidades de aplicaciones de terceros o interrupciones temporales mientras se adaptan los servicios.
Conclusiones
La retirada de EWS en Exchange Online marca el final de una era en la integración y gestión automatizada de correo empresarial en entornos Microsoft. Si bien la transición a Microsoft Graph promete una mayor seguridad y capacidades modernas, requiere una planificación detallada, formación de equipos y una revisión exhaustiva de dependencias para evitar riesgos de seguridad, interrupciones y problemas de cumplimiento.
El sector debe prepararse para una etapa de transición crítica, en la que la visibilidad, el monitoreo y la respuesta ante incidentes serán más necesarios que nunca.
(Fuente: www.bleepingcomputer.com)