Reglas de bandeja y reenvíos, leídos desde el registro

Una regla de bandeja actúa sobre los mensajes que llegan: los mueve, los marca como leídos, los borra o los reenvía. Es una herramienta legítima, y por eso mismo sirve para ocultar correo o para quedarse en un buzón, porque la regla sigue funcionando aunque cambien la contraseña. En el registro, la forma de crearla decide el nombre de la operación.

Si se crea o cambia desde Outlook en la web, aparecen New-InboxRule y Set-InboxRule. Si se crea, cambia o quita desde el cliente de Outlook de escritorio, aparece UpdateInboxRules. Las tres dejan los detalles en el campo Parameters: nombre, condiciones y acciones.

Los parámetros dicen qué busca la regla y qué hace. SubjectContainsWords es la condición sobre las palabras del asunto. MarkAsRead marca como leído, MoveToFolder mueve a una carpeta, DeleteMessage borra y StopProcessingRules detiene las reglas siguientes. Una regla que mueve y marca como leído lo que contiene «pago» o «factura» esconde justo los mensajes que hablan de dinero.

En la tabla reglas_y_reenvios hay una regla creada por pquiroga desde Outlook en la web. Léela por completo antes de juzgarla: el nombre es lo único que ve la persona, y los parámetros son lo que hace.

El reenvío de un buzón se configura con Set-Mailbox. Dos parámetros importan: ForwardingAddress apunta a un destinatario interno de la organización, y ForwardingSmtpAddress apunta a una dirección externa. Esa diferencia ya dice mucho: un reenvío interno a una jefatura rara vez es un problema, uno externo a un dominio que nadie reconoce merece una pregunta.

El registro no dice si es legítimo. Dice quién lo hizo, desde dónde y con qué parámetros, y con eso se pregunta.

DeliverToMailboxAndForward decide si el mensaje, además de reenviarse, se entrega también en el buzón. Con True, la persona conserva su copia y ve su bandeja igual que siempre. Con False, el mensaje solo se reenvía: la persona deja de recibir esos correos y quien ve su bandeja nota un silencio, no un reenvío.

Con una regla que archiva y marca como leído lo que habla de pagos, y un reenvío que quita la copia, la persona dueña no tiene forma de enterarse leyendo su correo.

No todo reenvío es sospechoso. El buzón de dmelo también tiene uno: lo hizo un administrador, desde la red de la empresa, hacia un destinatario interno. La tabla solicitudes guarda los cambios que alguien aprobó. Cruzar el registro con esa tabla separa el reenvío que tiene motivo del que nadie pidió.

Fíjate también en quién hizo cada cambio: en uno actuó la propia persona desde una dirección que no es la de la sede; en el otro, un administrador desde la sede.