Glossaire
Règle de boîte de réception (inbox rule)
Règle de boîte aux lettres qui déplace, supprime, marque ou transfère automatiquement les messages entrants ; les attaquants s'en servent dans un BEC pour masquer les réponses et exfiltrer.
Une règle de boîte de réception est une règle côté serveur, sur une boîte Exchange Online, qui agit sur les messages entrants : déplacer vers un dossier, marquer comme lu, supprimer, transférer ou rediriger. Les utilisateurs en créent dans Outlook ; les attaquants en créent après avoir pris le contrôle d'un compte, pour masquer les réponses (déplacement vers RSS Feeds ou Archive, marquage comme lu, suppression) et pour continuer à recevoir des copies (transfert vers une adresse externe). MITRE ATT&CK les répertorie sous Email Hiding Rules (T1564.008) et Email Forwarding Rule (T1114.003).
Dans le journal d'audit unifié, elles apparaissent comme New-InboxRule, Set-InboxRule, Enable-InboxRule (Outlook sur le web, PowerShell) ou UpdateInboxRules (Outlook de bureau). Les règles actuelles, y compris masquées, se listent avec Get-InboxRule -IncludeHidden.
Détails : règles de boîte de réception malveillantes et transferts.