Microsoft pone las manos en los datos de inicio de sesión: cuidado con el nuevo Outlook
El nuevo cliente gratuito Outlook de Microsoft para Windows, que sustituye a la app Mail integrada y, con el tiempo, al Outlook clásico, está recibiendo críticas por transmitir las credenciales y el contenido del correo de proveedores externos de los usuarios a los servidores de Microsoft para la sincronización en la nube. Los comentaristas sostienen que este diseño difumina la línea entre un cliente de escritorio local y un servicio de correo web, lo que plantea preocupaciones de privacidad, seguridad y cumplimiento —especialmente en entornos corporativos y sujetos al RGPD de la UE—, todo ello con poca transparencia o control por parte del usuario. Muchos también se quejan de que el “nuevo Outlook” es más lento y menos capaz que clientes anteriores, por lo que recomiendan quedarse con versiones antiguas o cambiar a alternativas como Thunderbird o eM Client.
Gestión de credenciales y “ShadowService”
- El nuevo Outlook “gratuito” de Windows sustituye a Mail y, con el tiempo, al Outlook clásico.
- Para cuentas IMAP (p. ej., Fastmail, mailbox.org), la aplicación envía las credenciales y el contenido del correo a los servidores de Microsoft a través de una ruta de API que incluye
/ows/beta/ShadowService/getShadowToken. - Los datos van protegidos por TLS en tránsito, pero llegan a Microsoft en texto claro, lo que permite acceso IMAP del lado del servidor y sincronización.
- Para cuentas de Google, algunos informes dicen que se usan tokens OAuth2 en lugar de la contraseña en bruto, pero Microsoft sigue teniendo tokens que permiten el acceso a la cuenta.
Preocupaciones de seguridad, privacidad y consentimiento
- Muchos ven esto como Microsoft actuando como intermediario no anunciado entre los usuarios y los proveedores de correo de terceros.
- Los críticos destacan la falta de una divulgación clara y visible, y de una opción de aceptación explícita, en contraste con flujos de “importación” explícitos en servicios como Gmail.
- Algunos sostienen que el problema principal no es el cifrado en tránsito, sino que Microsoft puede recuperar y reutilizar los secretos de los usuarios para consultar los buzones.
- Se informa que entornos de trabajo prohíben el nuevo Outlook y Outlook Mobile por este motivo.
Comparación con otros clientes y el correo web
- Algunos señalan que los servicios de correo web también gestionan credenciales en sus servidores, pero subrayan que los usuarios suelen saber que están usando correo web.
- El nuevo Outlook se describe como, en la práctica, una app web (como Outlook webmail) empaquetada como cliente de escritorio, a diferencia de los clientes IMAP locales tradicionales (p. ej., Thunderbird).
Experiencia de usuario y calidad del producto
- El nuevo Outlook es ampliamente criticado por ser más lento, más recargado y por carecer de funciones ya establecidas (p. ej., vistas clásicas de la lista de mensajes, controles de carga de imágenes, búsqueda fiable).
- Hay informes de anuncios intrusivos en la parte superior de la bandeja de entrada y de regresiones respecto a la antigua app Mail y al Outlook clásico.
- Quejas sobre el patrón de Microsoft de reescrituras “MVP” que se lanzan con funcionalidad reducida.
Ángulos corporativos, regulatorios y de políticas
- Según informes, una autoridad federal alemana de protección de datos planea llevar el asunto al nivel de la UE.
- Algunos lo ven como parte de una tendencia más amplia: recopilación agresiva de datos, telemetría y posible entrenamiento de IA sobre el contenido del usuario.
Alternativas y soluciones temporales
- Los usuarios mencionan reglas de firewall para bloquear el comportamiento de “llamar a casa” y seguir usando versiones anteriores de Office.
- Entre las alternativas citadas están Thunderbird, LibreOffice (como sustituto de Office) y eM Client.
- Consenso: los clientes IMAP de terceros que no proxifican credenciales a través de sus propios servidores evitan este problema concreto.