Que el administrador de correo pueda leer los correos del director no significa que lo esté haciendo. Los permisos muestran capacidad; los registros ayudan a determinar actividad.
La investigación debe evitar dos errores: acusar por poder y concluir sin revisar.
Revisa los registros de auditoría
Exporta los eventos disponibles de la plataforma:
Revisa el otorgamiento de permisos, accesos a buzones, delegaciones, alias, reenvíos, eliminaciones y cambios de configuración con sus fechas y direcciones de red. El objetivo es distinguir entre administración legítima y lectura o extracción indebida, porque tener privilegios no demuestra que se hayan utilizado para espiar.
Conserva los registros con una fuente autorizada independiente, especialmente si la persona sospechosa administra las mismas herramientas. Limita el análisis al buzón y período pertinentes y revisa también dispositivos del director, destinatarios y posibles cuentas comprometidas. Una fuga puede provenir de varias puertas y no solo de Sistemas.
En una revisión real de una sospecha interna, el administrador tenía permisos técnicos suficientes para consultar correos ajenos, pero esa capacidad no demostraba que los hubiera leído. El análisis tuvo que buscar eventos concretos de acceso, delegación, apertura o reenvío y revisar quién más podía conocer la información supuestamente filtrada. La diferencia entre poder y hacer cambió por completo la investigación.
También fue necesario reconocer lo que los registros no permitían concluir. Una configuración excesiva puede ser un riesgo real y merecer corrección sin que exista evidencia de abuso. Colocar un correo trampa habría alterado la escena y mezclado una provocación con los hechos que se querían conocer.
La empresa debe preservar auditoría, permisos y cambios antes de corregirlos, con un alcance que respete comunicaciones privadas. Después puede reducir privilegios, activar alertas y documentar las medidas. El abogado revisa políticas y privacidad; el especialista explica qué accesos están acreditados. Un informe imparcial puede concluir que no hay prueba de lectura y, al mismo tiempo, que la arquitectura necesita corregirse. No hay que elegir entre acusación y falsa tranquilidad.
No coloques correos trampa para provocar una reacción ni leas comunicaciones personales como represalia. Después de preservar, corrige privilegios, alertas y registros de acceso. Un informe que no encuentra abuso también debe explicar su alcance, sin convertir la capacidad técnica en prueba de inocencia absoluta ni en acusación anticipada.
No filtres únicamente al administrador. Exportar todo ayuda a comparar actividad normal con eventos relevantes y evita alertar prematuramente.
Permiso no equivale a lectura
Que alguien se otorgue acceso a un buzón no demuestra que haya leído el contenido. Puede ser una configuración administrativa, una práctica autorizada o una acción que requiere explicación.
Busca eventos que indiquen uso efectivo del permiso y contrasta con políticas y funciones asignadas.
Alias y reenvíos también importan
Un alias puede desviar correo sin que el titular lo note, pero también puede ser legítimo para distribución, soporte o continuidad.
Documenta cada alias y su finalidad antes de clasificarlo como malicioso. Lo mismo aplica a delegados y accesos de emergencia.
Una conclusión limpia también es un resultado
En una auditoría, los permisos existían y permitían acceso a buzones sensibles, pero no se identificaron accesos indebidos ni alias irregulares. El informe documentó capacidad y ausencia de abuso, no un culpable esperado.
Eso también protege a la empresa: puede reforzar revisiones sin destruir la confianza de una persona inocente.
Qué hacer mientras revisas
- No acuses públicamente.
- No borres registros.
- No cambies permisos sin documentar.
- Limita privilegios de acuerdo con el puesto.
- Programa revisiones periódicas.
- Mantén la investigación confidencial.
El privilegio administrativo no prueba lectura
Un acceso indebido a correo directivo o abuso de permisos de administrador debe revisarse con delegaciones, eventos de apertura disponibles, sesiones, reglas y aplicaciones conectadas. Que Sistemas pueda restablecer una cuenta no demuestra que haya leído mensajes. Dirección necesita una extracción independiente y limitada; Jurídico debe proteger privacidad y proporcionalidad. No se colocan correos trampa ni se revelan métodos de vigilancia, porque una auditoría seria trabaja con registros reales y explicaciones alternativas.
Capacidad administrativa no equivale a lectura
Un administrador puede tener facultades para restablecer accesos o mantener el servicio sin que eso demuestre que abrió mensajes. Revisa roles, delegaciones, accesos concedidos, sesiones y eventos de auditoría. La pregunta debe ser qué acción se registró, no simplemente quién podía hacerla.
Preserva registros antes de cambiar permisos. Documenta quién extrae los reportes y evita que la misma persona sospechosa controle toda la evidencia. Si existe conflicto de interés, utiliza un procedimiento independiente autorizado y con alcance limitado al buzón y período pertinentes.
Revisa reglas de reenvío, aplicaciones conectadas, dispositivos y contraseñas compartidas. Una fuga de información también puede provenir de un teléfono del director, un destinatario o una cuenta comprometida. No concentres la investigación en Sistemas por conveniencia.
No coloques mensajes trampa ni vigiles comunicaciones personales para provocar una reacción. Además de los riesgos jurídicos, ese método no demuestra lecturas anteriores. Trabaja con registros reales y controles proporcionales.
Después de preservar, corrige privilegios excesivos, habilita alertas y establece revisiones periódicas. Documenta cualquier restablecimiento de contraseña para no atribuirlo retroactivamente a una intrusión. Si la auditoría no encuentra acceso indebido, informa el alcance y las limitaciones en lugar de inventar una conclusión. El objetivo es proteger al director y a la empresa con evidencia, no ganar una disputa interna contra el departamento técnico.
