¿A qué das acceso cuando usas tu cuenta de Comillas?

El riesgo no está solo en dónde introduces tu cuenta, sino en qué acceso concedes después a una aplicación externa, especialmente si puede acceder a tus correo, reuniones, conversaciones, documentos, OneDrive, SharePoint u otros datos asociados a la cuenta institucional.

Hay aplicaciones que ofrecen una opción cómoda: “Iniciar sesión con Comillas”. Puede tratarse de un servicio en la nube, una herramienta de productividad, un asistente de reuniones, una extensión del navegador, una plataforma de análisis documental o una solución de inteligencia artificial. El acceso parece sencillo: eliges la cuenta @comillas.edu, aparece la pantalla de Microsoft con la personalización institucional y continúas.

El problema empieza cuando, para funcionar, esa aplicación solicita permisos sobre información vinculada a la cuenta corporativa. Puede pedir acceso al nombre, al correo, al perfil, al calendario, a los contactos, a ficheros, fotografías, conversaciones, reuniones, transcripciones, documentos compartidos o espacios de almacenamiento como OneDrive y SharePoint.

Por eso, antes de aceptar, conviene parar. No se trata solo de comprobar si la pantalla de inicio de sesión parece legítima. La pregunta importante es otra: qué aplicación estás autorizando, para qué la necesitas y a qué datos le estás permitiendo acceder.

Autenticarse no es autorizar

En este tema hay dos conceptos que suelen mezclarse: autenticación y autorización.

Autenticarse significa demostrar quién eres. Cuando usas tu cuenta de la Universidad Pontificia Comillas, introduces tu contraseña y completas el segundo factor si se solicita, el sistema comprueba que eres la persona titular de esa cuenta. Es el equivalente digital a identificarse en una entrada.

Autorizar significa conceder permiso para que una aplicación haga algo con tu cuenta o con los datos asociados a ella. Es una decisión distinta. Puedes haberte autenticado correctamente y, aun así, estar a punto de permitir que una aplicación externa consulte información que no debería tratar.

La autenticación responde a la pregunta “¿eres tú?”. La autorización responde a “¿qué dejas hacer a esta aplicación?”. Esa segunda pregunta es la que más se pasa por alto, porque suele aparecer en una pantalla rápida, con botones conocidos y textos que invitan a continuar.

Una pantalla institucional de Microsoft puede formar parte de un proceso real de inicio de sesión. Eso no significa que la aplicación externa sea necesaria para tu trabajo, que haya sido revisada por la Universidad o que tenga permiso para tratar información universitaria.

Qué puede pedir una aplicación al usar la cuenta institucional

Una aplicación externa puede pedir permisos muy limitados o permisos muy amplios. La diferencia es importante.

Algunos accesos son básicos: ver tu nombre, tu dirección de correo o información general del perfil. Otros afectan a información profesional o personal: calendario, contactos, buzón, reuniones, chats, documentos, fotografías, archivos compartidos, espacios de almacenamiento, notas, grabaciones o transcripciones.

En un uso cotidiano, esto puede parecer abstracto. Pero llevado a la vida universitaria significa que una aplicación podría llegar a ver nombres de personas con las que te reúnes, asuntos de tutorías, documentos de gestión, borradores de investigación, convocatorias, actas de reunión, correos con información interna, ficheros compartidos en equipos de trabajo o datos personales incluidos en documentación administrativa.

El riesgo aumenta cuando la aplicación no solo muestra información, sino que la copia, la analiza, la envía a un servicio externo o la utiliza para alimentar funciones de automatización o inteligencia artificial.

Servicios cloud e IA: comodidad con condiciones

Muchas herramientas actuales prometen ahorrar tiempo: resumir reuniones, transcribir conversaciones, organizar documentos, buscar en todos tus ficheros, redactar respuestas, analizar correos o generar actas. Algunas son útiles en contextos adecuados. Otras no son apropiadas para trabajar con datos universitarios si no han sido revisadas y autorizadas.

La cuestión no es si la herramienta “parece buena” o si “la usa mucha gente”. La cuestión es qué datos necesita, dónde los procesa, durante cuánto tiempo los conserva, con quién los comparte y si su uso está autorizado para la actividad universitaria concreta.

No están autorizadas las aplicaciones que envían datos de reuniones, conversaciones, documentación profesional o datos personales a servicios externos de IA sin autorización previa de la Universidad.

Esto incluye asistentes que se conectan a reuniones, herramientas que capturan audio, servicios que resumen transcripciones, aplicaciones que leen correos, extensiones que analizan documentos, plataformas que indexan OneDrive o SharePoint, y soluciones que prometen “buscar en todo tu trabajo” conectándose a la cuenta corporativa.

La cuenta @comillas.edu debe utilizarse únicamente con aplicaciones necesarias, confiables y autorizadas para la actividad universitaria. No debe usarse para probar servicios personales, extensiones curiosas, herramientas promocionales o aplicaciones de IA que no hayan sido validadas para tratar información profesional.

OneDrive, SharePoint, correo y reuniones no son datos menores

Cuando una aplicación pide acceso a ficheros o almacenamiento, no hablamos solo de “documentos sueltos”. En OneDrive y SharePoint puede haber carpetas compartidas, documentos colaborativos, versiones anteriores, borradores, hojas de cálculo, presentaciones, documentación de proyectos, materiales de docencia, información de investigación o archivos de gestión.

Un permiso demasiado amplio puede afectar a información que no es exclusivamente de quien acepta. Un documento compartido puede contener aportaciones de varias personas. Una carpeta de proyecto puede incluir datos de terceros. Una reunión puede contener información de estudiantes, personal, proveedores, investigación o decisiones internas.

Algo parecido ocurre con el correo y el calendario. El buzón puede contener conversaciones con adjuntos, datos personales, solicitudes, incidencias, trámites, mensajes de coordinación y comunicaciones con personas externas. El calendario puede revelar reuniones, nombres, horarios, relaciones profesionales, viajes, tutorías o asuntos de trabajo.

Por eso conviene desconfiar de solicitudes genéricas como “leer todos los archivos”, “acceder a todos los sitios”, “leer el correo”, “mantener acceso a los datos” o “ver información de reuniones”, salvo que exista una razón clara, necesaria y autorizada.

La pantalla de permisos es el momento de decidir

Antes de pulsar “Aceptar”, revisa la pantalla con calma. No hace falta tener conocimientos técnicos avanzados. Basta con mirar cuatro elementos.

Primero, la aplicación. Comprueba el nombre exacto. ¿Es la herramienta que pretendías usar? ¿La reconoces? ¿El nombre parece coherente o se parece demasiado a otro servicio conocido?

Segundo, el proveedor. Revisa quién publica la aplicación. Si no reconoces la entidad, si el editor no está claro o si no encaja con el servicio que esperabas, es mejor detenerse.

Tercero, los permisos. Lee qué datos solicita. Una herramienta sencilla no debería pedir acceso amplio a correo, calendario, documentos, reuniones y almacenamiento si su función no lo justifica.

Cuarto, la persistencia del acceso. Algunas aplicaciones pueden mantener permisos después de cerrar la pestaña o dejar de usar el servicio. Cerrar sesión no siempre equivale a retirar el acceso concedido.

La decisión más segura, cuando algo no encaja, es no aceptar. Si la aplicación es necesaria para trabajar, puede consultarse con STIC/Ciberseguridad antes de conceder acceso.

Qué ocurre por dentro cuando aceptas

Cuando aceptas permisos, normalmente no entregas tu contraseña a la aplicación. Eso no significa que no haya riesgo. Lo que concedes es una autorización técnica para que esa aplicación acceda a determinados datos o realice determinadas acciones dentro del alcance permitido.

Puede ser un acceso puntual y limitado. También puede ser un acceso amplio y duradero. La diferencia depende de los permisos solicitados, de la configuración del servicio y del tipo de aplicación.

En términos prácticos, puede ocurrir lo siguiente:

• La aplicación obtiene permiso para identificarte y crear una cuenta vinculada a tu correo institucional.
• La aplicación puede consultar información de perfil, contactos o calendario si se lo has permitido.
• La aplicación puede leer, analizar o almacenar documentos si ha recibido permisos sobre ficheros o almacenamiento.
• La aplicación puede acceder a información de reuniones, conversaciones o transcripciones si esos permisos forman parte de la autorización.
• La aplicación puede seguir teniendo acceso mientras el permiso continúe activo, aunque ya no la uses de forma visible.

Por eso, una aceptación rápida puede tener efectos que duran más que la sesión abierta en el navegador.

Señales útiles y límites

Hay señales que invitan a parar. Por ejemplo, una aplicación que pide acceso a más datos de los que necesita, un proveedor desconocido, una descripción poco clara, una promesa demasiado amplia o un botón que empuja a aceptar sin explicar bien el alcance.

También conviene desconfiar si la aplicación se presenta como un asistente “inteligente” que necesita conectarse a todo: reuniones, correo, ficheros, chats y almacenamiento. Cuanto más amplia sea la integración, más cuidadosa debe ser la revisión.

Ahora bien, una señal aislada no confirma por sí sola que una aplicación sea maliciosa. Puede haber herramientas legítimas que necesiten permisos concretos para funcionar. La clave está en la proporcionalidad: el permiso debe tener relación clara con la función, con la actividad universitaria y con una autorización previa cuando trate información profesional o personal.

Qué está en juego en la Universidad

En la Universidad se trabaja con información muy variada: expedientes, actas, tutorías, bibliotecas, investigación, convocatorias, movilidad, gestión, correo, documentos compartidos, reuniones de coordinación, materiales docentes y datos personales.

Una aplicación externa conectada sin revisión puede acceder a más información de la esperada. No hace falta que exista mala intención para que haya un problema. Puede bastar con que el servicio almacene datos en una ubicación no prevista, los use para mejorar modelos, los comparta con terceros, permita accesos internos del proveedor o conserve contenido más tiempo del necesario.

El riesgo también puede afectar a otras personas. Si autorizas una aplicación a leer documentos compartidos o reuniones con participantes, puedes estar exponiendo información de compañeros, estudiantes, colaboradores, proveedores o equipos de investigación.

En este tipo de situaciones, la privacidad no depende solo de la contraseña. Depende de los permisos concedidos y de qué aplicaciones tienen capacidad para acceder a los datos.

Cómo ayuda el STIC

Ante una duda, lo más recomendable es consultar antes de aceptar. STIC/Ciberseguridad puede orientar sobre el tipo de permisos solicitados, ayudar a valorar si son proporcionados y revisar si la aplicación plantea riesgos para datos universitarios.

También puede ayudar cuando ya se ha concedido acceso. En ese caso, la revisión puede centrarse en identificar la aplicación, entender qué permisos tenía, valorar qué información pudo estar implicada, orientar sobre la retirada de permisos y recomendar medidas de contención cuando proceda.

La idea no es bloquear cualquier herramienta nueva ni culpabilizar a quien haya aceptado por error. La idea es evitar que una decisión rápida conceda acceso innecesario a correo, reuniones, conversaciones, documentos o datos personales.

Lo que ha cambiado en 2025–2026

En 2025 y 2026 se ha normalizado el uso de servicios que se conectan a cuentas de trabajo para automatizar tareas. La IA generativa es tecnología capaz de producir texto, imágenes, audio, código o resúmenes a partir de instrucciones y datos de entrada. Si esos datos incluyen información profesional, el tratamiento debe revisarse con especial cuidado.

También han ganado presencia los asistentes de reuniones, las extensiones que leen páginas o documentos, los servicios que resumen correos y las plataformas que buscan información en múltiples repositorios. Su utilidad puede ser real, pero su alcance también puede ser amplio.

Además, las amenazas relacionadas con identidad han evolucionado. La MFA fatigue busca que una persona apruebe por cansancio o confusión una solicitud de segundo factor. El robo de sesión intenta aprovechar una sesión ya autenticada. Un infostealer es un programa malicioso orientado a robar credenciales, cookies o datos de acceso. Estas técnicas recuerdan que proteger la cuenta no consiste solo en tener una buena contraseña: también importa controlar sesiones, permisos y aplicaciones conectadas.

En este contexto, el consentimiento a aplicaciones externas se ha convertido en una decisión de seguridad cotidiana. No siempre aparece con aspecto sospechoso. A veces aparece dentro de un flujo normal, en mitad de una jornada con prisas, correos pendientes, reuniones seguidas o tareas acumuladas.

Datos recientes en contexto

ENISA analizó 4.875 incidentes observados entre julio de 2024 y junio de 2025, y mantuvo la ingeniería social, el malware, las amenazas contra datos y los ataques a la disponibilidad entre las amenazas destacadas para Europa [ENISA, 2025].

Microsoft indicó en su Digital Defense Report 2025 que los sectores con grandes volúmenes de datos sensibles, entre ellos investigación y academia, estuvieron entre los más impactados por amenazas durante el periodo analizado [Microsoft, 2025].

El DBIR 2026 de Verizon señaló que el uso frecuente de herramientas de “shadow AI” en entornos laborales pasó del 15% al 45% de empleados en un año [Verizon, 2026]. Estos datos pueden variar por sector, muestra y metodología.

El mismo informe situó la participación de terceros en el 48% de las brechas analizadas [Verizon, 2026]. Esta cifra no habla solo de aplicaciones conectadas a Microsoft 365, pero ayuda a entender por qué cada proveedor externo con acceso a datos de trabajo debe revisarse con cuidado.

No hay un estudio público reciente que permita afirmar una cifra concreta sobre cuántas personas en universidades españolas conceden permisos a aplicaciones externas con cuentas institucionales. Por eso es mejor evitar porcentajes no verificados y centrarse en una práctica clara: revisar antes de aceptar.

Consejos prácticos antes de usar “Iniciar sesión con Comillas”

• Pregunta si la aplicación es necesaria. Si la herramienta no es necesaria para la actividad universitaria, no uses la cuenta @comillas.edu. Esta separación evita que servicios personales o experimentales accedan a información profesional.
• Comprueba el nombre exacto de la aplicación. Ayuda a detectar servicios que no son los esperados o integraciones que se presentan con nombres parecidos a herramientas conocidas.
• Revisa el proveedor. Si el editor no está claro, no lo reconoces o no encaja con la herramienta que querías usar, detente y consulta.
• Lee los permisos antes de aceptar. No pases por alto la lista de datos solicitados. Esa pantalla indica qué podrá ver o hacer la aplicación.
• Aplica la regla de proporcionalidad. Si una función sencilla pide acceso a correo, calendario, contactos, documentos y almacenamiento, el permiso parece excesivo. No lo aceptes sin validación.
• Ten especial cuidado con OneDrive y SharePoint. Los documentos almacenados o compartidos pueden contener información de otras personas, proyectos, equipos o servicios. Un permiso amplio puede afectar a más datos de los que imaginas.
• No conectes reuniones a servicios externos de IA sin autorización. Reuniones, transcripciones, chats y grabaciones pueden incluir datos personales o información profesional. No deben enviarse a servicios externos sin autorización previa de la Universidad.
• Desconfía de aplicaciones que prometen resumirlo todo. Para resumir correos, reuniones y documentos, una herramienta necesita leerlos. Antes de permitirlo, comprueba si ese tratamiento está autorizado.
• No aceptes permisos permanentes para una prueba puntual. Si solo querías probar una función, no tiene sentido conceder acceso amplio o duradero a la cuenta institucional.
• No uses la cuenta corporativa para extensiones o servicios personales. Algunas extensiones del navegador o aplicaciones gratuitas pueden pedir acceso amplio a datos. Úsalas fuera del entorno institucional si son personales y no implican información universitaria.
• Consulta con STIC/Ciberseguridad antes de conceder acceso dudoso. Una consulta previa evita exposiciones innecesarias. Es mejor preguntar antes que retirar permisos después.
• Revisa periódicamente las aplicaciones conectadas. Una aplicación puede seguir teniendo acceso mientras mantenga permisos concedidos. Dejar de usarla no siempre elimina la autorización.

Qué hacer si ya has aceptado permisos

Si has autorizado una aplicación y después dudas, deja de usarla. No conectes más reuniones, no subas documentos adicionales y no amplíes permisos hasta aclararlo.

Conserva la información útil si puedes: nombre de la aplicación, proveedor, fecha aproximada, permisos que recuerdas, tipo de datos a los que parecía acceder y cualquier correo o aviso relacionado. No hace falta compartir contraseñas ni reenviar información sensible innecesaria.

Si crees que la contraseña puede estar comprometida, cámbiala desde un acceso legítimo y conocido. Pero recuerda que, si el problema está en permisos concedidos, cambiar la contraseña puede no retirar por sí solo la autorización de una aplicación. Puede ser necesario revisar las aplicaciones conectadas y revocar accesos.

Comunícalo cuanto antes a través de Jira. Explica con calma qué aplicación era, qué estabas intentando hacer, qué permisos aceptaste si los recuerdas y si se conectó a reuniones, correos, documentos, OneDrive, SharePoint u otros datos.

No retrases el aviso por vergüenza. Estas pantallas pueden ser confusas, muchas aplicaciones se presentan como herramientas de productividad y los textos de permisos no siempre son fáciles de interpretar. Avisar pronto ayuda a reducir el impacto.

Privacidad y trato respetuoso

Las decisiones sobre permisos deben tratarse con proporcionalidad y confidencialidad. El objetivo es comprender qué acceso se concedió, qué información pudo verse afectada y cómo reducir el riesgo.

También es importante recordar que la información universitaria no siempre pertenece solo a quien acepta. Una carpeta compartida, una reunión, una conversación o un documento colaborativo pueden incluir datos de otras personas. Por eso, revisar permisos no es una formalidad: es una forma de cuidar el trabajo común.

Un entorno de confianza facilita que las dudas se comuniquen pronto. Cuando alguien pregunta antes de aceptar o avisa después de un posible error, está ayudando a proteger cuentas, documentos, reuniones y datos personales.

Una pausa antes de conceder acceso

Usar “Iniciar sesión con Comillas” puede ser cómodo, pero no debe convertirse en un gesto automático. La cuenta institucional abre la puerta a servicios y datos de trabajo, y cada permiso concedido puede ampliar esa puerta más de lo necesario.

Antes de aceptar, mira qué aplicación lo solicita, quién está detrás y qué datos quiere consultar. Presta especial atención a permisos sobre correo, calendario, contactos, reuniones, conversaciones, transcripciones, documentos, OneDrive, SharePoint y datos personales.

Si la aplicación envía información profesional o personal a servicios externos de IA sin autorización previa de la Universidad, no debe utilizarse con la cuenta institucional. Si el permiso parece excesivo, no lo aceptes. Si hay dudas, consulta con STIC/Ciberseguridad.

La pantalla puede parecer rutinaria; el permiso que concedes no lo es.