Reenvío Automático de Correo: Riesgos y Cómo Bloquearlo en Microsoft 365

El reenvío automático de correo es uno de los vectores más usados en el fraude BEC (Business Email Compromise): un atacante que compromete un buzón crea una regla que reenvía en silencio los correos sobre facturas, transferencias o datos de clientes a una cuenta externa, sin que el usuario legítimo lo note. Puedes comprobar si tu organización lo permite en el Centro de administración de Exchange → Flujo de correo → Reglas, y bloquearlo de forma global desde Directivas anti-spam → Reenvío automático.

En Kualum Technologies vemos este patrón con frecuencia tras un incidente: la empresa detecta un fraude de facturación y, al investigar, aparece una regla de reenvío que llevaba semanas activa sin que nadie la hubiera creado conscientemente.

Por qué el reenvío externo es una puerta de entrada al fraude (BEC)

El fraude BEC no necesita malware ni exploits sofisticados: basta con robar unas credenciales (por phishing, por reutilización de contraseña filtrada en otro servicio, o por falta de MFA) y crear una regla de bandeja de entrada que reenvíe silenciosamente los mensajes que contienen palabras como "factura", "transferencia" o "IBAN" a una dirección externa. El atacante no necesita seguir dentro del buzón: la regla trabaja por él, de forma continua, hasta que alguien la detecta.

Este método es especialmente peligroso porque:

• No genera alertas visibles para el usuario (el correo original sigue llegando con normalidad).
• Permite al atacante observar conversaciones reales durante semanas antes de intervenir con un correo fraudulento que parece legítimo porque conoce el contexto exacto.
• Sobrevive a un simple cambio de contraseña si no se revisan también las reglas de bandeja de entrada.

Cómo detectar reglas de reenvío sospechosas ya creadas

1. En el Centro de administración de Exchange → Flujo de correo → Reglas, revisa las reglas a nivel de organización (menos habituales, pero muy peligrosas si existen).
2. Para reglas creadas por el propio usuario dentro de su buzón, ejecuta en Exchange Online PowerShell el cmdlet Get-InboxRule -Mailbox [email protected] en las cuentas con acceso a información financiera o directiva.
3. Busca reglas con condiciones inusuales (reenvío a dominios externos desconocidos, reglas sin nombre descriptivo, reglas que mueven o eliminan el correo después de reenviarlo para ocultar el rastro).
4. Revisa también el reenvío SMTP configurado directamente en el buzón (no como regla, sino como propiedad del buzón) desde Usuarios activos → seleccionar usuario → Correo → Reenvío de correo.

Cómo bloquear el reenvío externo a nivel de organización

La forma más robusta no es revisar reglas una a una, sino impedir el reenvío automático a dominios externos por defecto:

1. En el Centro de administración de Microsoft 365 Defender → Directivas y reglas → Directivas de amenazas → Directivas anti-spam → Directiva de spam saliente predeterminada.
2. En la sección Reenvío automático, cambia el valor de "Activado" a "Desactivado" (o "Solo agregar destinatarios de reenvío internos" según la versión del panel).
3. Aplica el cambio también a cualquier directiva personalizada de spam saliente que exista para departamentos específicos.
4. Documenta el cambio como parte de las evidencias de seguridad de tu organización — es exactamente el tipo de control técnico que se solicita al documentar ISO 27001 en Microsoft 365.

Según la documentación oficial de Microsoft sobre reenvío automático saliente, esta es la configuración recomendada por defecto desde 2019 precisamente por su relación directa con el fraude por correo, y el CCN-CERT recoge el mismo patrón entre las técnicas más habituales de compromiso de cuentas corporativas en sus informes de amenazas.

Excepciones legítimas y cómo gestionarlas

Hay casos reales en los que un empleado necesita reenviar correo a un dominio externo (por ejemplo, a una consultora externa o durante una baja temporal). En vez de desactivar la protección global, gestiona estos casos mediante:

• Conectores de flujo de correo específicos y auditables para el dominio externo concreto, en vez de reglas de reenvío libres.
• Aprobación documentada de cada excepción, con fecha de revisión o caducidad.
• Grupos de distribución compartidos en vez de reenvío individual, cuando el objetivo es que varias personas vean el mismo correo.

Señales de que ya has sido víctima

• Reglas de bandeja de entrada que no reconoces, especialmente si mueven correo a "Elementos eliminados" o "Archivo" tras reenviarlo.
• Clientes o proveedores que reportan haber recibido instrucciones de cambio de cuenta bancaria por correo que tu empresa no envió.
• Inicios de sesión desde ubicaciones o dispositivos inusuales en los registros de Entra ID — revisa esto junto con la auditoría de MFA y Acceso Condicional, ya que casi siempre ambos fallos coexisten.
• Correos marcados como leídos que el destinatario no recuerda haber abierto.

Si detectas cualquiera de estas señales, cambia la contraseña, revoca las sesiones activas, elimina la regla de reenvío y revisa el registro de auditoría de Purview para determinar el alcance real del acceso.

Un caso típico: cómo se desarrolla el fraude paso a paso

Entender la secuencia completa ayuda a explicar por qué este riesgo es tan difícil de detectar sin revisión activa:

1. Compromiso inicial — el atacante obtiene la contraseña de un buzón, normalmente por phishing o por una contraseña reutilizada filtrada en otro servicio ajeno a la empresa.
2. Persistencia silenciosa — en vez de actuar de inmediato, crea una regla de reenvío o de reenvío-y-eliminación que le permite observar la conversación real durante días o semanas.
3. Momento de intervención — cuando detecta una operación relevante (una factura pendiente, una transferencia programada), envía un correo desde una cuenta muy parecida a la legítima (dominio con una letra cambiada, por ejemplo) pidiendo un cambio de cuenta bancaria u otra acción urgente.
4. Explotación del contexto — como conoce el hilo real de la conversación, el mensaje fraudulento resulta convincente incluso para personas atentas, porque cita nombres, fechas e importes reales.

Esta secuencia explica por qué el bloqueo del reenvío externo y la revisión periódica de reglas son más eficaces que confiar solo en que el personal "detecte" el phishing: cuando el correo fraudulento llega, el atacante ya lleva tiempo dentro y conoce el contexto mejor que un observador externo.

Protege tu correo de forma continua

Revisar esto una vez no es suficiente: las reglas de reenvío pueden volver a crearse tras un nuevo intento de phishing. El servicio de gestión de Microsoft 365 de Kualum Cloud incluye monitorización continua de estas configuraciones dentro de Microsoft Defender, y puedes solicitar una auditoría gratuita de tu entorno Microsoft 365 para saber si tu organización está expuesta ahora mismo. Repasa el resto de controles clave en el checklist de seguridad Microsoft 365 en 30 minutos.