Correo, reglas de bandeja y actividad

Según la documentación de Microsoft Purview, New-InboxRule registra la creación de una regla en Outlook en la web, Set-InboxRule su modificación en la web, y UpdateInboxRules la creación, modificación o eliminación desde el cliente de Outlook. Es decir: el nombre de la operación dice desde qué tipo de cliente se tocó la regla. Una regla creada con una operación y editada con otra indica clientes distintos o pasos distintos.

Abre operaciones_de_correo.

Las reglas de bandeja pueden mover, marcar, borrar o reenviar mensajes. Una regla que reenvía a un destino fuera de la organización convierte el buzón en una fuente permanente de información para quien la creó, aunque después cambien la contraseña. Lee la columna detalle de las filas de reglas y fíjate en las que la modifican.

La condición de la regla suele delatar el propósito: aquí actúa sobre mensajes con palabras que se relacionan con pagos, y los saca de la vista de la persona. Una regla que mueve y marca como leído los mensajes sobre dinero hace que la dueña no vea las respuestas a un fraude en curso.

MailItemsAccessed registra que se leyeron o accedieron mensajes del buzón. El detalle trae cuántos elementos agrupa cada registro. Suma los elementos de las filas de esa operación que vienen de la dirección de la regla sospechosa. Hay otra fila con una cifra mayor, de la oficina: el volumen solo no distingue lo malo de lo normal, el origen sí.

Tienes una regla que oculta mensajes sobre pagos y reenvía a un dominio externo, lecturas de buzón desde una dirección no habitual y un envío a catorce personas con un asunto sobre cambio de cuenta de pagos. No tienes el contenido de los mensajes, no sabes cuántos se reenviaron, ni quién estaba detrás de la dirección.