Escenario: un buzón de finanzas con una regla de hace seis semanas

Durante una ronda de caza sobre reglas de buzón en el departamento financiero, el analista descubrió una regla (ArchiveInvoiceRules) creada hace 42 días (seis semanas) en el buzón del interventor ([email protected]). La regla reenviaba en secreto todo mensaje financiero a [email protected] y lo movía a elementos eliminados. Simultáneamente, un contratista temporal abusaba de permisos SendAs desde una IP sospechosa. La regla permitió a los atacantes preparar desvíos de facturas durante más de un mes.

Indica la dirección IP (client_ip) que figura en la tabla delegated_mailbox_access para la operación no autorizada.

Lección tras el caso {#leccion}

El correo electrónico corporativo y las plataformas de colaboración en la nube son el objetivo predilecto para el fraude financiero y el espionaje silencioso. Las intrusiones de correo más peligrosas rara vez provocan interrupciones ruidosas: operan en las sombras mediante reglas de bandeja de entrada que desvían información crítica hacia el exterior (auto-forwarding) y mediante delegaciones abusivas de permisos (FullAccess y SendAs) que sobreviven a los cambios de contraseña de la víctima. El cazador defensivo realiza auditorías periódicas de persistencias en buzones, busca anomalías en enlaces anónimos compartidos y transforma cada descubrimiento en políticas globales de bloqueo de reenvíos externos.