Cómo detectar reglas de reenvío de correo a externos en Exchange Online

Por qué el reenvío de correo es una señal de alarma

Cuando un atacante compromete un buzón de Microsoft 365, una de sus primeras acciones suele ser crear una regla de bandeja de entrada. Con ella reenvía a una dirección externa los correos que le interesan (facturas, pagos, transferencias) o mueve y borra las respuestas para que la víctima no note nada. Es la base de muchos fraudes de tipo BEC (business email compromise) o "fraude del CEO".

Lo peor es que la regla sigue funcionando aunque el usuario cambie la contraseña, porque se ejecuta en el servidor. Si no la buscas, el atacante puede seguir recibiendo copia del correo durante meses.

Las tres formas de reenviar correo fuera de la organización

1. Reglas de bandeja de entrada

Las crea el propio usuario (o quien haya entrado en su cuenta) desde Outlook u Outlook en la web. Pueden reenviar (ForwardTo), reenviar como adjunto (ForwardAsAttachmentTo) o redirigir (RedirectTo) a cualquier dirección. Son las favoritas de los atacantes porque no requieren permisos de administrador.

2. Reenvío a nivel de buzón

Se configura en las opciones del buzón y reenvía todo el correo, no solo una parte. El usuario puede definirlo desde Outlook en la web (propiedad ForwardingSmtpAddress) y el administrador desde el centro de administración de Exchange (propiedad ForwardingAddress).

3. Reglas de flujo de correo

Las crea un administrador en el centro de administración de Exchange y afectan a toda la organización o a grupos de usuarios. Muchas son legítimas, como las copias a un archivo externo, pero una regla así creada desde una cuenta de administrador comprometida es especialmente grave. Revísalas aparte.

A esto se suman los flujos de Power Automate que reenvían correo, que algunos usuarios crean sin darse cuenta de que están sacando información de la organización.

¿No lo bloquea ya Microsoft?

Por defecto, la directiva de correo no deseado saliente de Exchange Online Protection tiene el reenvío automático externo en Automático - controlado por el sistema, que hoy equivale a desactivado. Los reenvíos externos desde reglas y desde el buzón se bloquean y el remitente recibe un informe de no entrega con el código 5.7.520.

Pero no te confíes:

• Es habitual encontrar directivas salientes personalizadas que habilitan el reenvío para algunos usuarios, o para toda la organización "porque un directivo lo pidió".
• Una regla que mueve o elimina correos no necesita reenviar nada para hacer daño: le basta con ocultar las respuestas del banco o del proveedor.
• Una regla de reenvío bloqueada sigue siendo un indicador de compromiso. Si existe, alguien la creó.

Cómo detectarlas

Con PowerShell (Exchange Online)

Conéctate con Connect-ExchangeOnline y busca primero los buzones con reenvío configurado:

Comando: Get-Mailbox -ResultSize Unlimited | Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } | Select-Object UserPrincipalName, ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward

Después revisa las reglas de bandeja de entrada que reenvían o redirigen:

Comando: Get-Mailbox -ResultSize Unlimited | ForEach-Object { Get-InboxRule -Mailbox $_.UserPrincipalName } | Where-Object { $_.ForwardTo -or $_.ForwardAsAttachmentTo -or $_.RedirectTo } | Select-Object MailboxOwnerId, Name, Enabled, ForwardTo, RedirectTo

En tenants grandes este segundo comando tarda, porque consulta los buzones uno por uno. Fíjate sobre todo en los destinos que no pertenecen a tus dominios.

Con el informe de reenvíos automáticos

En el centro de administración de Exchange, dentro de Informes > Flujo de correo, el informe de mensajes reenviados automáticamente muestra los mensajes que han salido de la organización por reenvío, con el usuario y el destino. Sirve para ver qué está saliendo de verdad.

Con alertas y el registro de auditoría

Microsoft Defender incluye la directiva de alerta predeterminada Creation of forwarding/redirect rule, que avisa cuando alguien crea una regla de reenvío. Comprueba que está activa y que las notificaciones llegan a alguien que las lee.

En el registro de auditoría de Microsoft Purview puedes buscar las operaciones New-InboxRule, Set-InboxRule y UpdateInboxRules (esta última se registra cuando la regla se crea desde Outlook para escritorio), además de Set-Mailbox para los cambios de reenvío a nivel de buzón.

Cómo reconocer una regla maliciosa

• Nombres sin sentido: un punto, dos puntos, una sola letra o caracteres repetidos.
• Destinos personales: direcciones de Gmail, Outlook.com, Proton u otros dominios que no son de clientes ni proveedores.
• Palabras clave financieras: condiciones que filtran por "factura", "pago", "transferencia", "IBAN" o "invoice".
• Mover a carpetas que nadie mira: Fuentes RSS, Historial de conversaciones o Archivo, a menudo combinado con marcar como leído.
• Eliminar correos: reglas que borran los mensajes de un remitente concreto, como el banco o el departamento de cuentas.

Qué hacer si encuentras una

1. Documenta antes de borrar: exporta la regla y guarda una captura. Te servirá para la investigación y, si aplica, para notificar el incidente.

2. Elimina o desactiva la regla: con Remove-InboxRule o desde Outlook en la web, y quita el reenvío a nivel de buzón si lo hay.

3. Cierra el acceso del atacante: restablece la contraseña, revoca las sesiones activas del usuario y revisa los métodos MFA registrados, por si el atacante añadió uno propio.

4. Revisa el alcance: consulta los inicios de sesión del usuario, las aplicaciones OAuth que haya autorizado y qué correos se reenviaron.

5. Notifica si corresponde: si tu organización está afectada por NIS2 y el incidente es significativo, recuerda que la alerta temprana debe enviarse en 24 horas.

Cómo prevenirlo

• Mantén el reenvío externo automático desactivado en la directiva saliente predeterminada y crea excepciones solo para usuarios concretos y justificados.
• Activa y revisa las alertas de creación de reglas de reenvío.
• Exige MFA a todos los usuarios y bloquea la autenticación heredada: la mayoría de buzones comprometidos lo son por contraseñas robadas.
• Audita las reglas de forma periódica, no solo cuando sospechas de un incidente.

Detección automática con 365toControl

365toControl revisa las reglas de bandeja de entrada de los buzones con licencia de tu tenant y marca las que reenvían, reenvían como adjunto o redirigen correo fuera de tus dominios verificados. Para cada una verás el usuario, el nombre de la regla, los destinos externos y si está activa.