Reglas de bandeja y reenvíos en un fraude de pago

En un fraude de pago por correo, quien se mete en un buzón necesita dos cosas: ver la conversación y que nadie más la vea cambiar. La regla de bandeja resuelve la segunda. No necesita ninguna herramienta ajena: es una función normal del correo. Una regla que mueve a otra carpeta y marca como leído lo que escribe un proveedor deja la bandeja con aspecto de siempre.

Lo que la hace reveladora no es su nombre, que suele ser neutro, sino tres datos juntos: qué condición usa (el dominio de un proveedor, palabras como factura o cuenta), qué acción toma (esconder o borrar) y desde dónde y cuándo se creó.

Abre la consola. Ejecuta SELECT * FROM reglas y luego SELECT * FROM reglas WHERE condicion LIKE '%vegalarga%'. La red de la oficina de Panificadora Bochica es 192.0.2.0/24. De las reglas de la cuenta de nrivas, solo una tiene como condición el dominio del proveedor del caso.

En los casos de este tipo las reglas se crean pronto: la persona que entró a una cuenta suele preparar su rastro antes de hacer nada más. El tiempo entre un inicio de sesión que no es el habitual y la primera regla ayuda a atar los dos hechos como parte de la misma sesión.

Ejecuta SELECT * FROM inicios WHERE ip NOT LIKE '192.0.2.%' para ver el inicio de sesión que no viene de la oficina. Después compara su hora con la de creación de la regla del proveedor.

No todas las reglas ni todos los reenvíos de la lista son parte del caso. Ejecuta SELECT * FROM reglas y SELECT * FROM reenvios. Cuatro reglas y dos reenvíos, y solo una parte nació en la misma sesión desde una dirección externa. Una regla antigua creada desde la oficina con el cliente de escritorio sobre pedidos de harina, o un reenvío interno con copia en el buzón, pueden ser rutina. Que algo sea una regla o un reenvío no basta para sospechar: cuenta quién, desde dónde, cuándo y qué esconde.