Elegir si los correos sospechosos que reportan tus colaboradores quedan almacenados en la plataforma para que tu equipo los revise, o si solo se reenvían por correo y no se guardan en ningún lado.
Cumplir con políticas de privacidad o de retención que impidan que el contenido de los correos de tu gente quede almacenado fuera de tu organización.
Entender por qué la bandeja de incidentes puede aparecer vacía aunque tus colaboradores estén reportando.
Navegación: Configuración → Botón de Reporte
En el primer bloque de la pantalla, Correo de reporte de incidentes, hay dos cosas:
El campo Correos — las direcciones de tu empresa que reciben el aviso cada vez que alguien reporta un correo.
El interruptor Almacenar los correos reportados en la plataforma.
Este interruptor antes se llamaba «Guardar correos reportados en la bandeja del SIEM». Le cambiamos el nombre porque mezclaba dos cosas distintas: guardar en la plataforma y reenviar a tu casilla de incidentes. Está en el mismo lugar y hace lo mismo.
Activado — el correo reportado se guarda en la bandeja de incidentes, donde tu equipo puede abrirlo, analizarlo, clasificarlo y responderle a quien lo reportó. Además se envía el aviso con el archivo .eml a los correos configurados arriba.
Desactivado — el correo reportado no se guarda: solo sale el aviso con el .eml a los correos configurados. En la bandeja de incidentes no va a aparecer nada.
El aviso por correo sale en los dos casos. El interruptor decide únicamente si además queda almacenado en la plataforma; no es una elección entre una cosa o la otra.
El texto de ayuda que aparece al lado del interruptor —el que se abre con el ícono de información— dice exactamente esto: que el aviso a los correos de reporte de incidentes se envía siempre, y que activar la opción agrega el almacenamiento en la plataforma y el análisis de los enlaces.
El análisis automático de los enlaces. Solo corre sobre los correos que se guardan. Con el interruptor apagado no hay categoría sugerida, porque no hay correo almacenado que analizar.
El movimiento a Correo no deseado (SPAM). Eso lo decide otra opción de la misma pantalla, Mover el correo a Correo no deseado al reportar, dentro del bloque Correo no deseado al reportar. Cuando esa opción está activada, el correo reportado se mueve a la carpeta de Correo no deseado del buzón de quien reportó — y solo funciona en cuentas de Microsoft (Outlook / Microsoft 365). En Google Workspace (Gmail) el correo no se mueve, porque la herramienta no lo permite.
Ese bloque antes se llamaba «Eliminar al reportar», y su interruptor «Eliminar correo después de reportar». Cambiaron de nombre porque el correo nunca se eliminó: siempre se movió a Correo no deseado.
Los correos de simulación. Si lo que el colaborador reportó era un correo de una campaña de phishing tuya, el reporte se registra como evento «reportado» dentro de esa campaña y el flujo termina ahí: no entra a la bandeja de incidentes, no dispara el aviso al correo de reporte y no se mueve a Correo no deseado. Es el comportamiento esperado — la bandeja es para amenazas reales, no para tus propias simulaciones.
¿Dónde está la opción de guardar los correos en la bandeja del SIEM?
En el mismo lugar, Configuración → Botón de Reporte. Ahora se llama Almacenar los correos reportados en la plataforma.
Mi gente reporta correos y la bandeja de incidentes está vacía.
Lo más probable es que el interruptor esté desactivado: en ese caso los reportes se avisan por correo pero no se almacenan. La otra causa habitual es que los correos reportados fueran de una simulación tuya, que se contabilizan dentro de la campaña y no en la bandeja.
Si lo desactivo, ¿pierdo el aviso de que alguien reportó algo?
No. El aviso con el archivo .eml sale a los correos configurados con el interruptor activado o desactivado. Lo único que cambia es si además queda guardado en la plataforma.
¿Puedo tener las dos cosas a la vez: que se guarde y que me llegue el correo?
Sí, y es lo que pasa por defecto. Activado hace las dos cosas.
Si lo activo hoy, ¿aparecen los reportes viejos?
No. El interruptor aplica a los reportes que entren de ahí en adelante; lo que no se guardó no se puede recuperar.
¿Los correos de mis simulaciones desaparecen de las estadísticas si lo desactivo?
No. El evento «reportado» de una campaña se registra siempre y no depende de esta configuración.
¿Por qué el correo reportado se movió a Correo no deseado?
Por la opción Mover el correo a Correo no deseado al reportar, no por esta. Solo ocurre en cuentas de Microsoft.
¿Tienes feedback o quieres solicitar mejoras? Háznoslo saber en roadmap.whalemate.com/roadmap
