Reenvío y clasificación de correos electrónicos del Phishing Report Button

Puede configurar el SoSafe Phishing Report Button para reenviar los correos electrónicos notificados (incluido el archivo .EML) a un buzón de correo de abuso, MS Defender y/o la herramienta de triaje interna de SoSafe: Threat Inbox.

Buzón de abuso

Compatibilidad

• Outlook: todas las APIs son compatibles
• Google Workspace: no compatible

Cómo funciona

Cuando los usuarios denuncian correos electrónicos sospechosos, el Phishing Report Button puede reenviar estos mensajes a un buzón de abuso especificado. El sistema sandbox de su elección puede entonces supervisar este buzón y analizar los correos entrantes en busca de amenazas como enlaces de phishing o malware. Si se detecta una amenaza, puede poner en cuarentena automáticamente el correo electrónico correspondiente y eliminar las copias reenviadas de las bandejas de entrada de los usuarios.

Configuración

1. Configure un buzón de abuso en su solución de seguridad. Para obtener instrucciones detalladas, consulte la documentación de su proveedor.

2. En el SoSafe Manager, vaya a Phishing Report Button / Report handling y desplácese hasta la sección Set up abuse mailbox. Active el interruptor.

   

    

    

3. Introduzca la dirección de su buzón de abuso y seleccione Save para confirmar.

Detalles técnicos

• Los correos electrónicos reenviados incluyen encabezados especiales (references y in-reply-to) que enlazan con el correo electrónico original. Esto permite a las herramientas de seguridad rastrear conversaciones y analizar el historial de mensajes.

• El correo electrónico reenviado no contiene el correo electrónico original como archivo adjunto.

• En su lugar, el correo electrónico reenviado contiene metadatos básicos en texto plano del correo electrónico original.

MS Defender

Puede integrar el Phishing Report Button con Microsoft Defender para la gestión de informes. Esto significa que los correos electrónicos denunciados con el PRB aparecen en el panel de envíos de su equipo SOC en Defender. Si dispone de Microsoft Defender for Office 365 Plan 2, también puede activar una Investigación y respuesta automatizadas (AIR) tanto para el análisis del correo electrónico denunciado como para las sugerencias de corrección. Obtenga más información sobre esta funcionalidad en https://learn.microsoft.com/en-us/defender-office-365/air-auto-remediation.

Requisitos y limitaciones

Todas las APIs disponibles para el PRB son compatibles. Sin embargo, Exchange Web Services (EWS) limita el tamaño de los archivos adjuntos a 500 kB, lo que significa que no es posible adjuntar el correo electrónico original como archivo .eml si su tamaño es demasiado grande. En estos casos, aunque los informes se envían a la bandeja de entrada de envíos del usuario, no aparecerán en el panel de envíos de usuarios de Microsoft Defender. Por lo tanto, no se recomienda utilizar esta integración con la API de EWS.

Los envíos a Microsoft Defender no funcionan cuando los informes se realizan desde un buzón local o desde fuera de la organización. Los usuarios que denuncian deben estar en la misma instancia de Azure de MS Defender.

Configuración en Microsoft Defender

1. Acceda al portal de Microsoft Defender. Vaya a System / Settings / Email & collaboration / User reported settings. También puede acceder directamente a esta página: https://security.microsoft.com/userSubmissionsReportMessage
2. Asegúrese de que la casilla de verificación Monitor reported messages in Outlook esté marcada.
3. Seleccione Use a non-Microsoft add-in button.

4. En Reported message destinations, asegúrese de que Send reported messages to: esté configurado como Microsoft and my reporting mailbox.
5. En Add an exchange online mailbox to send reported messages to: introduzca la bandeja de entrada que desea utilizar.

Configuración en el SoSafe Manager

En el SoSafe Manager, vaya a Phishing Report Button / Report handling y localice la sección Microsoft Defender emails. Seleccione el interruptor para activarla e introduzca la misma bandeja de entrada que especificó anteriormente. Seleccione Save para confirmar.

Los correos electrónicos denunciados por los usuarios se reenviarán ahora a su panel de envíos de usuarios en Defender (vaya a Investigation & response / Actions & submissions / Submissions). Puede obtener más información sobre lo que puede hacer allí en las páginas de soporte de Microsoft. Los correos electrónicos de phishing simulados enviados por SoSafe no serán reenviados.

Threat Inbox

Threat Inbox es su centro de operaciones para el triaje de los informes enviados por sus usuarios a través del SoSafe Phishing Report Button (PRB). En lugar de gestionar los informes a través de una bandeja de entrada de correo electrónico estándar, Threat Inbox ofrece un entorno dedicado para buscar, filtrar, revisar y clasificar posibles amenazas, actuar sobre ellas y ofrecer a los empleados que las denunciaron un feedback útil que refuerce un comportamiento seguro en toda su organización.

Threat Inbox también puede procesar su cola por usted. El análisis de IA sugiere una etiqueta para cada informe a medida que llega. La corrección de buzones mueve un correo electrónico denunciado fuera de la bandeja de entrada del destinatario y, en Google Workspace, también puede bloquear al remitente. Ambas funciones son opcionales y permanecen desactivadas hasta que las active.

Funcionalidades principales

Threat Inbox le permite realizar investigaciones detalladas sobre los correos electrónicos denunciados directamente en el SoSafe Manager.

• Vistas de detalle: Acceda a información de contexto general, como la identidad del usuario que realizó la denuncia, la marca de tiempo y los datos completos del remitente.

• Análisis técnico detallado: Revise los encabezados completos del correo electrónico, los destinos de los enlaces y los detalles de los archivos adjuntos.

• Inspección de archivos: En el caso de correos electrónicos con archivos adjuntos, puede consultar rápidamente los detalles del archivo y copiar los hashes para contrastarlos en sus herramientas de seguridad internas.

• Análisis de IA: Si ha activado el análisis de IA, cada informe llega con una etiqueta sugerida (Safe, Spam o Malicious) para que la revise. Las sugerencias son orientativas. Usted toma la decisión final.

• Explicación en lenguaje sencillo: Al abrir un informe, puede leer por qué la IA llegó a esa sugerencia, redactada en lenguaje sencillo y específica para ese correo electrónico.

• Corrección de buzones: Si ha conectado una integración de Google Workspace o de Microsoft, puede actuar sobre el propio correo electrónico y no solo sobre el registro. Muévalo fuera de la bandeja de entrada del destinatario a la carpeta de spam o a la papelera de su proveedor y, con Google Workspace, bloquee al remitente o el dominio de envío.

• Menor carga de trabajo con los correos electrónicos denunciados: Si en el pasado dudó en implantar el SoSafe Phishing Report Button, ahora puede hacerlo sabiendo que existe una forma clara de gestionar los correos electrónicos denunciados sin generar más carga de trabajo.

Filtrado inteligente y triaje

Para ayudar a su equipo a mantenerse organizado, Threat Inbox ofrece varias vistas que le ayudan a priorizar las amenazas más críticas. También puede ordenar la cola, buscar en ella y actuar sobre varios informes a la vez.

Búsqueda. Busque en la cola por asunto del correo electrónico, por dirección de correo electrónico del usuario que realizó la denuncia o por fecha.

Resolución masiva. Seleccione varios informes y resuélvalos todos en una sola acción, en lugar de abrir cada uno. Seleccionar todo se aplica solo a los informes que coinciden con el filtro activo en ese momento, no a toda la cola. Puede ver cuántos informes están seleccionados y debe confirmar antes de que se aplique la acción. Se envía un correo electrónico de feedback a cada usuario que realizó una denuncia cuando el feedback está activado, y cualquier comentario que añada se incluye en todos ellos. Puede cambiar la clasificación de un informe incluso después de resolverlo, lo que envía al usuario otro correo electrónico de feedback. También puede descargar el archivo .EML después de resolver.

Filtrar por análisis de IA. Si ha activado el análisis de IA, también puede filtrar la cola por etiqueta e ir directamente a todo lo etiquetado como Malicious. Estos filtros solo aparecen mientras el análisis de IA está activado. Si lo desactiva, los filtros desaparecen y las vistas anteriores funcionan exactamente igual que antes.

Al activar el análisis de IA, Threat Inbox procesa todo su historial pendiente y añade el análisis de IA a los informes existentes.

El análisis de IA es opcional y permanece desactivado hasta que lo active.

Cuando está activado, primero se elimina del correo electrónico denunciado la información de identificación personal. Varios puntos de datos de lo que queda, incluidos el remitente, los enlaces y los archivos adjuntos, se contrastan con bases de datos de inteligencia de amenazas estándar del sector. En la mayoría de los casos, esto basta para determinar si un correo electrónico es Safe, Spam o Malicious.

A continuación, una capa de IA que prioriza la privacidad revisa el resultado para aportar mayor fiabilidad cuando los datos de reputación por sí solos no son concluyentes.

El resultado es siempre una sugerencia: una etiqueta Safe, Spam o Malicious. Su equipo la revisa y la confirma al resolver el informe. Si no está de acuerdo, clasifique el informe usted mismo.

Cierre del ciclo de retroalimentación

Dar feedback a los usuarios convierte un ticket cerrado en una oportunidad de aprendizaje y motiva a realizar más denuncias. Al seleccionar Resolve en un informe, clasifica el correo electrónico en una de tres categorías: Safe, Spam o Malicious.

Si el análisis de IA está activado, cada informe de su cola de revisión muestra una etiqueta sugerida al abrirlo: Safe, Spam o Malicious. La etiqueta es una sugerencia de la IA y no está confirmada. Una vez que resuelva el informe, la clasificación es suya. Puede aceptar la sugerencia o elegir otra.

• Feedback automatizado: Cada clasificación está vinculada a un correo electrónico de feedback único que explica la clasificación al empleado. Los correos electrónicos de feedback utilizan un conjunto estándar de plantillas y, al resolver, puede añadir un comentario para el usuario que realizó la denuncia.

• Refuerzo del comportamiento: Enviar estas actualizaciones hace que los usuarios se sientan escuchados y valorados, lo que mejora las tasas de denuncia futuras y la calidad de los datos.

• Flexibilidad para los administradores: Por defecto, el feedback se envía automáticamente para ahorrar tiempo a su equipo, pero puede desactivarlo fácilmente en casos concretos desmarcando la casilla Send feedback email.

Clasificar un informe registra una decisión. La corrección de buzones actúa sobre el propio correo electrónico.

Lo que puede hacer la corrección de buzones depende de si su organización utiliza Microsoft 365 o Google Workspace, por lo que no todas las acciones siguientes están disponibles en todos los entornos. Desde un informe en Threat Inbox puede:

• Mover el correo electrónico fuera de la bandeja de entrada del destinatario. El correo Spam va a la carpeta de spam de su proveedor (Spam en Gmail, Junk Email en Outlook). El correo Malicious va a la papelera de su proveedor (Trash en Gmail, Deleted Items en Outlook). SoSafe no crea carpetas propias. El correo electrónico se mueve, SoSafe no lo elimina, pero se aplican las reglas habituales de su proveedor para esa carpeta, incluida cualquier limpieza automática.

• Bloquear al remitente*, para que los siguientes correos electrónicos de esa dirección no lleguen a sus usuarios.

• Bloquear el dominio de envío*, para que los siguientes correos electrónicos procedentes de ese dominio no lleguen a sus usuarios.

*Solo Google Workspace.

Conviene conocer un límite antes de confiar en esta función. La corrección de buzones afecta a la copia que se denunció y no es una limpieza en toda la organización. Si el mismo correo electrónico se entregó a cincuenta personas y solo una lo denunció, la corrección de buzones actúa sobre la copia de esa persona.

La corrección de buzones la activa usted en cada informe individual.

Configuración. Conecte la corrección de buzones en Settings / Integrations. Solo puede tener conectada una integración de corrección de buzones a la vez. Los permisos que necesita se muestran en la pantalla de consentimiento de su entorno de correo electrónico cuando aprueba la conexión. Uso. Al resolver un informe, desde la ventana de resolución o la vista de detalle del informe, marque las acciones de corrección de buzones que desee. La corrección de buzones solo se ejecuta en los informes para los que la seleccione.

La corrección de buzones no es lo mismo que el ajuste Delete emails permanently after reporting, que se encuentra en Phishing Report Button / General settings. Ese ajuste actúa sobre cada informe en el momento en que se envía y elimina. La corrección de buzones actúa sobre un solo informe después de revisarlo y mueve. Si también reenvía informes a un buzón de abuso, compruebe que su sandbox sigue pudiendo acceder a las carpetas de spam y de papelera de su proveedor.

Si desactiva Threat Inbox, todos los correos electrónicos denunciados y todos los registros de clasificación se eliminan de forma permanente. Se le pedirá que lo confirme antes de que esto ocurra.

Para acceder al centro, vaya a Phishing Report Button / Threat Inbox en el SoSafe Manager. Si la función no está aún activa, encontrará un interruptor de activación directamente en esa página.

Aunque Threat Inbox está diseñado para ser una solución de investigación completa, entendemos que muchos equipos utilizan sistemas de tickets externos. Si prefiere gestionar el triaje de informes a través de herramientas como Jira o ServiceNow, puede configurar estas conexiones en Settings / Integrations.