Glosario
Regla de bandeja de entrada (inbox rule)
Regla de buzón que mueve, elimina, marca o reenvía automáticamente los mensajes entrantes; los atacantes la usan en un BEC para ocultar respuestas y exfiltrar correo.
Una regla de bandeja de entrada es una regla del lado del servidor en un buzón de Exchange Online que actúa sobre los mensajes entrantes: moverlos a una carpeta, marcarlos como leídos, eliminarlos, reenviarlos o redirigirlos. Los usuarios las crean en Outlook; los atacantes las crean tras tomar el control de una cuenta, para ocultar respuestas (mover a RSS Feeds o Archive, marcar como leído, eliminar) y seguir recibiendo copias (reenviar a una dirección externa). MITRE ATT&CK las recoge como Email Hiding Rules (T1564.008) y Email Forwarding Rule (T1114.003).
En el registro de auditoría unificado aparecen como New-InboxRule, Set-InboxRule, Enable-InboxRule (Outlook en la web, PowerShell) o UpdateInboxRules (Outlook de escritorio). Las reglas actuales, incluidas las ocultas, se listan con Get-InboxRule -IncludeHidden.
Detalles: reglas de bandeja de entrada maliciosas y reenvío.