¿Tu cuenta Microsoft se bloquea una y otra vez? Si ves el mensaje “Hemos detectado actividad inusual y hemos bloqueado tu cuenta”, no estás solo: los ataques automatizados contra direcciones de Outlook, Hotmail y Live han crecido de forma sostenida durante los últimos años. En este artículo profundizamos en cuántos intentos fallidos activan el bloqueo, por qué vuelve a suceder y, sobre todo, cómo blindar tu dirección principal sin renunciar a enviar y recibir correos con normalidad.

Por qué Microsoft bloquea la cuenta

El sistema de defensa de Microsoft –conocido internamente como Adaptive Lockout Service– analiza los intentos de autenticación en tiempo real y cruza cientos de variables:

• Número de contraseñas erróneas introducidas en una ventana temporal.
• Diferencia de ubicación e IP respecto a tus inicios de sesión habituales.
• Presencia en listas de direcciones filtradas o publicadas en la darknet.
• Dispositivos o cookies no reconocidos.

Cuando la puntuación de riesgo supera un umbral interno, la cuenta pasa a estado “temporarily locked”. El objetivo no es castigarte, sino reducir la superficie de ataque antes de que alguien descifre tu contraseña y contorne tu segundo factor.

Cuántos intentos fallidos provocan el bloqueo

No hay un número fijo y público. En la práctica:

• Diez a doce intentos consecutivos en pocos minutos suelen bastar si vienen de una IP nueva.
• Con solo tres o cuatro intentos, pero repartidos desde IPs o países muy distintos, el bloqueo también puede dispararse.
• El cálculo se reinicia cada 24 h, de modo que un bot que pruebe miles de contraseñas cada noche seguirá bloqueándote cada día.

En otras palabras, la protección es dinámica y se ajusta al patrón de ataque que esté sufriendo tu buzón en ese momento.

¿Con qué frecuencia puede volver a ocurrir?

Mientras el usuario malintencionado conserve tu alias y el script automatizado siga probando combinaciones, el candado se reactivará tantas veces como sea necesario. Hay casos documentados de bloqueos diarios durante semanas.

¿Es obligatorio pasar por el flujo de desbloqueo cada vez?

Sí. Una vez activado el estado “temporarily locked”, solo hay dos formas de recuperar el acceso:

1. Cambiar la contraseña.
2. Completar un segundo factor (SMS, correo alternativo, aplicación Microsoft Authenticator o token físico FIDO2).

Omitir cualquiera de los dos pasos no eliminará la bandera de riesgo.

¿Se puede desactivar la protección automática?

No. El bloqueo forma parte de las políticas de seguridad globales para todas las cuentas de consumo. Incluso los administradores de Microsoft 365 comercial no pueden deshabilitarla, solo suavizarla mediante exclusiones de IP internas.

Estrategia para proteger tu cuenta sin perder la dirección habitual

La medida más eficaz consiste en cambiar el alias principal que usas para iniciar sesión y deshabilitar el inicio de sesión con el alias viejo. Así consigues dos ventajas críticas:

1. Los bots seguirán enviando contraseñas al alias filtrado, pero esas credenciales se desechan antes de llegar al núcleo de autenticación. No cuentan como intentos fallidos.
2. Sigues recibiendo correos dirigidos a la dirección histórica porque el alias antiguo permanece asociado a tu buzón.

Problema	Solución/Acción recomendada	Detalles relevantes
Nº de intentos que generan el bloqueo	Algoritmo adaptativo de Microsoft	Se evalúa el volumen y frecuencia de intentos en un periodo de 24 h. Un uso continuado de diccionarios provoca bloqueos repetidos.
¿Se puede desactivar el bloqueo?	No	El servicio está integrado a nivel de plataforma; su desactivación comprometería la seguridad de todo el ecosistema.
Impacto en el uso diario	Cada bloqueo exige contraseña nueva + 2FA	Si el ataque continúa, deberás repetir el flujo de recuperación tras cada intervalo de bloqueo.
Proteger la cuenta y mantener correos	Asignar un alias principal distinto y anular el inicio de sesión con el alias filtrado	Reduce a cero los intentos fallidos registrados; el alias viejo solo actúa como receptor de correo.
Envío y recepción después del cambio	Outlook permite elegir la dirección “De”	Los contactos no ven ninguna diferencia; basta seleccionar el alias histórico al redactar.

Paso a paso: crear un alias principal nuevo

1. Inicia sesión en la página de Información de cuenta y ve a la sección Alias.
2. Selecciona Agregar alias y elige:
   • Crear una nueva dirección @outlook.com poco predecible (ej.: j4m1l70n8@outlook.com)
   • O bien añadir una dirección que ya poseas.
3. Haz clic en Establecer como principal.
4. En Preferencias de inicio de sesión, desmarca la casilla Permitir inicio de sesión junto al alias antiguo.
5. Guarda los cambios y cierra sesión en todos los dispositivos para forzar la nueva credencial.
6. Actualiza la información de inicio de sesión en Xbox, Skype, OneDrive, Office o cualquier app móvil que utilice la cuenta.

Preguntas frecuentes

¿Perderé mis correos anteriores?
No. El alias es solo un identificador de inicio de sesión. Todo el historial de mensajes y contactos permanece intacto.

¿Cuánto dura el bloqueo si no hago nada?
Entre 30 min y 24 h dependiendo de la gravedad del ataque. Si el bot sigue activo, el ciclo se repite.

¿Puedo seguir usando la dirección vieja para enviar?
Sí. Al redactar un correo en Outlook, despliega el campo “De” y elige el alias que desees.

¿Y si el atacante averigua mi alias nuevo?
Mantén el segundo factor y una contraseña larga (mínimo 16 caracteres aleatorios). Además, revisa la actividad de inicio de sesión cada semana; si detectas IPs sospechosas, cambia de alias nuevamente.

Buenas prácticas adicionales de seguridad

• Activa notificaciones push en Microsoft Authenticator; así podrás aprobar o denegar solicitudes en un toque.
• Configura un token FIDO2; los dispositivos físicos son inmunes al phishing.
• Evita reutilizar contraseñas. Emplea un gestor para generar claves únicas.
• Desvincula aplicaciones antiguas (POP/IMAP) que no soporten OAuth; obligan a usar contraseñas de aplicación menos seguras.
• Audita dispositivos de confianza y revoca los que no reconozcas.

Conclusión

El bloqueo recurrente de cuentas Microsoft no es un fallo, sino una señal de que tu dirección ha sido objeto de ataques por fuerza bruta o credenciales filtradas. Aunque no puedas desactivar la protección automática, cambiar el alias principal y mantener 2FA reduce drásticamente los bloqueos y te devuelve el control de tu bandeja. Combina esta medida con contraseñas robustas, autenticación multifactor y revisiones de actividad periódicas para disfrutar de un inicio de sesión ágil y seguro.