Reglas de buzón y reenvíos que nadie creó

Una regla de buzón actúa sobre cada mensaje que llega: lo mueve, lo marca como leído, lo borra o lo reenvía. Un reenvío entrega una copia a otra dirección. Las dos cosas son funciones normales del correo, y por eso no levantan sospechas; las dos están guardadas en el buzón, no en el equipo, y siguen funcionando aunque la sesión del atacante se cierre y la contraseña cambie.

Quien intenta defraudar las usa para ocultar a su víctima las respuestas que podrían delatarlo: mensajes del banco, del proveedor verdadero o de un compañero que pregunta algo.

No toda regla es sospechosa. Las legítimas tienen un motivo de oficio visible en su condición y casi siempre nacen desde la oficina de la persona. La que oculta mensajes mira palabras que tocan dinero (factura, pago, banco, cuenta), los manda a una carpeta que nadie abre y los marca como leídos para que ni siquiera quede la marca de pendiente.

Tres rasgos juntos —palabras de dinero, carpeta ignorada y «leído»— valen más que un nombre bonito o uno raro.

Un reenvío a una dirección interna es lo que hace quien comparte trabajo con una asistente. Un reenvío a una dirección externa entrega, de forma continua, una copia de todo lo que llega al buzón a alguien que no pertenece a la organización. Su columna alcance lo dice, pero lo útil es ver cuándo y desde dónde se configuró.

La dirección externa es un indicador: se bloquea en la pasarela, se busca en las demás cuentas y se anota en el informe.

El daño de una regla de ocultar se mide contando lo que ocultó: cada mensaje movido es algo que la persona no leyó y que puede explicar por qué nadie reaccionó a tiempo. La exportación guarda una fila por mensaje movido, con la regla que lo movió. Hay mensajes movidos por una regla legítima en la misma tabla, y esos no cuentan.

Contar no se hace de memoria: se filtra por la regla sospechosa y se cuenta lo que queda.

Eliminar la regla es parte de la erradicación, pero antes se exporta: la regla misma, con su creador, su hora y su dirección, y la lista de mensajes que movió, es evidencia. Una vez quitada, se revisan los demás buzones de la organización buscando reglas y reenvíos parecidos, porque quien llegó a una cuenta casi siempre probó más de una.

Quitar sin copiar borra la prueba de qué se ocultó y desde dónde; quitar solo en una cuenta deja las otras.