Reunir en un solo lugar todos los correos que los colaboradores marcaron como sospechosos.
Triagear cada reporte: revisar contenido, encabezados, adjuntos y enlaces antes de tomar una decisión.
Clasificar cada incidente por categoría (Amenaza, Spam, Limpio, Desconocido) y llevar su estado de principio a fin: Recibido → En Revisión → Resuelto.
Responderle al colaborador que reportó con un mensaje según el tipo de resolución elegido.
Dejar trazabilidad completa de cada acción en el historial del incidente.
Bajar la bandeja completa a un archivo CSV para analizarla fuera de la plataforma.
Navegación: Amenazas (SIEM) → Incidentes
Bandeja de entrada
Entra a Amenazas (SIEM) → Incidentes. La pantalla se llama Bandeja de entrada y muestra la lista de correos reportados.
La lista muestra las columnas: De, Categoría, Asunto, Reportado por y Reportado el. A la izquierda de todo, cada fila lleva un ícono de estado: al pasar el mouse por encima te dice si el reporte está Recibido, En Revisión o Resuelto.
Filtra por estado con los cuatro botones de arriba: Todos · Recibido · En Revisión · Resuelto. El que está activo queda resaltado.
Usa la barra Buscar para encontrar un reporte puntual por remitente, asunto o reportante.
El ícono de Filtros, arriba a la derecha, abre un panel con más criterios: estado, categoría, quién reportó, remitente, asunto y un rango de fechas.
El ícono de descarga, al lado de Filtros, baja la bandeja como CSV (siem_emails.csv). Respeta los filtros y la búsqueda que tengas puestos, y trae todas las páginas, no solo la que estás viendo.
Al pasar el mouse sobre una fila aparecen acciones rápidas a la derecha: eliminar, mover a cualquiera de los otros dos estados, descargar el .eml y responderle al reportante.
La categoría no se cambia desde ahí: se hace haciendo clic sobre la etiqueta de la columna Categoría, que abre el menú de las cuatro opciones.
Haz clic en cualquier fila para abrir el Detalle del incidente.
Arriba a la derecha del título hay un botón Mostrar vista anterior, que vuelve al diseño viejo de la bandeja. Es una salida de emergencia mientras se termina de asentar el rediseño; el listado y los datos son los mismos. Para volver, el mismo botón dice Mostrar nuevo diseño.
La categoría sugerida automáticamente
El análisis automático de enlaces está disponible para las empresas que lo tienen habilitado. Si tu empresa lo tiene, cuando entra un reporte la plataforma analiza sola los enlaces del correo y propone una categoría. Eso se ve en la columna Categoría mientras nadie haya clasificado el correo a mano:
Analizando... — el análisis está corriendo.
Reintentar (en rojo) — el análisis falló. El botón lo vuelve a lanzar. Solo lo ven las personas con permiso de escritura.
Una categoría con un ícono de varita al lado — es la propuesta automática. Al pasar el mouse, el tooltip aclara: «Categoría sugerida automáticamente».
Cómo se traduce el veredicto del análisis en la categoría sugerida:
Veredicto del análisis | Categoría sugerida |
|---|---|
Limpio | Limpio |
Sospechoso | Spam |
Amenaza | Amenaza |
Una categoría con la varita no fue puesta por nadie de tu equipo. Es una sugerencia, y sigue contando como pendiente de revisión. En cuanto alguien clasifica el correo a mano, la elección manual reemplaza a la sugerencia y la varita desaparece.
Cuándo NO vas a ver una sugerencia.
Si tu empresa no tiene habilitado el análisis automático, la columna y la pestaña se ven igual que siempre, sin «Analizando...» ni varita. Si querés activarlo, consultá con tu representante de Whalemate.
El análisis solo corre sobre los correos que se guardan en la bandeja. Si tu empresa tiene apagada la opción de guardarlos, no hay análisis porque no hay correo que analizar.
Los reportes que llegan por el bot de Whalemate todavía no se analizan automáticamente.
Si el correo no contenía enlaces, no hay nada que analizar: la categoría queda en Desconocido, sin varita, y la pestaña Dominio & URLs lo aclara.
La sugerencia es orientativa, aun cuando el enlace se analizó bien. Un dominio registrado hace pocos días todavía no figura en ninguna lista de reputación, así que puede volver como «Limpio» aunque sea de un atacante. La clasificación final la sigue decidiendo quien revisa.
Detalle del incidente
En la cabecera se muestran: el asunto, la etiqueta de estado, la etiqueta de categoría (Amenaza / Spam / Limpio / Desconocido), el remitente (De), el destinatario (Para) y un ícono de papelera para eliminar.
Debajo aparece una franja con los datos del reporte: De, Recibido el, Reportado por, Reportado el y Dirección IP.
Pestañas disponibles:
Vista previa — muestra el correo renderizado tal como lo recibió el usuario.
Mensaje sin procesar — contenido crudo del correo.
Encabezados — las cabeceras técnicas, agrupadas en cuatro bloques para que no haya que leerlas todas: Autenticación y Phishing (lo crítico para detectar suplantación), Seguimiento (rastreo del origen), Técnico (encabezados de Google y Microsoft) y Contexto.
Archivos adjuntos — tabla con Nombre, Tipo y los botones de Ver y Descargar. Si el correo no traía adjuntos, lo dice en lugar de quedar en blanco.
Dominio & URLs — el dominio del remitente y todas las URLs encontradas en el correo, en tres bloques, de arriba hacia abajo:
Análisis de seguridad — el resultado del análisis automático (solo si tu empresa lo tiene habilitado).
Información del remitente — el dominio del remitente.
Información de enlaces — la lista completa de las URLs del correo.
Dentro de Análisis de seguridad vas a encontrar:
Un resumen del veredicto: «Se detectaron N link(s) marcados como posible amenaza», «…con señales sospechosas» o «No se detectaron amenazas en los links analizados».
La lista de Links analizados, con el veredicto de cada uno y, cuando corresponde, el tipo de amenaza: Ingeniería social, Malware, Software no deseado, Aplicación potencialmente peligrosa o Amenaza no clasificada.
El aviso «Esta es una sugerencia automática. El análisis final queda a criterio del administrador.»
Según el momento del análisis, esta sección muestra otro mensaje:
Analizando los links… — el análisis está corriendo. La pantalla se actualiza sola, no hace falta recargar.
No se pudo completar el análisis automático. — el análisis falló. El botón Reintentar lo vuelve a lanzar (solo lo ven las personas con permiso de escritura).
Este correo no contenía links para analizar. — no hay lista de links analizados.
Los enlaces se leen como direcciones, no como fragmentos de código. El complemento de correo a veces extraía la dirección con el código del propio mensaje pegado atrás —algo como
https://sitio-falso.com/entrar/</u></span>—, y el veredicto se consultaba sobre una dirección que no existía. Ahora se limpian antes de consultarlos y antes de guardarlos, así que lo que ves es la dirección que la persona hubiera abierto.Si un enlace venía tan roto que no se puede recuperar ninguna dirección, igual aparece en Información de enlaces: no se descarta nada de lo que el correo traía. Simplemente no figura entre los analizados, porque no hay qué consultar.
Los reportes anteriores a este cambio conservan la dirección como se guardó entonces. La corrección aplica a los correos que entren de ahora en adelante.
Historial — registra cada cambio de estado, cada cambio de categoría y cada respuesta enviada, con autor y fecha/hora.
Responder al reportante
Desde el detalle del incidente (o desde la acción rápida de la fila), abre Responder al usuario.
Arriba se muestra Para: con el correo de quien reportó.
Elige un Tipo de resolución. Cada uno trae su mensaje ya escrito y, además, define en qué queda el incidente:
Tipo de resolución | Qué mensaje envía | En qué deja el incidente |
|---|---|---|
Phishing | Amenaza real: advierte al usuario | Categoría Amenaza + Resuelto |
Falso positivo | Correo legítimo: tranquiliza al usuario | Categoría Limpio + Resuelto |
Spam | Correo no deseado, sin riesgo | Categoría Spam + Resuelto |
En revisión | Todavía se está analizando | Estado En Revisión (no toca la categoría) |
Respuesta personalizada | El texto que escribas | Resuelto, sin cambiar la categoría |
La Vista previa muestra el mensaje exacto que va a recibir el reportante, con su nombre ya reemplazado.
Si eliges Respuesta personalizada, se abre el campo de texto libre (hasta 5.000 caracteres). Mientras esté vacío, el botón de enviar queda deshabilitado.
Abajo a la izquierda hay un tilde que viene activado por defecto. Dice «Marcar como resuelto al enviar», salvo cuando elegiste En revisión, donde dice «Marcar como En Revisión al enviar».
Ese tilde controla todo lo de la columna «En qué deja el incidente». Si lo dejas puesto, al enviar se aplica el cambio de estado y el de categoría. Si lo destildas, la respuesta se manda igual pero el incidente queda exactamente como estaba: mismo estado y misma categoría.
Haz clic en Enviar respuesta para confirmar, o en Cancelar para descartar.
Cada respuesta y cada cambio de estado o categoría quedan registrados en la pestaña Historial.
¿Qué significan las categorías?
Amenaza = correo malicioso confirmado. Spam = correo no deseado sin riesgo. Limpio = correo legítimo. Desconocido = todavía sin clasificar.
¿Cuál es la diferencia entre estado y categoría?
El estado indica en qué etapa del proceso está el reporte (Recibido, En Revisión, Resuelto). La categoría indica qué tipo de correo es (Amenaza, Spam, Limpio, Desconocido).
¿Puedo cambiar la categoría mientras respondo?
Sí, pero no eligiéndola: la fija el tipo de resolución. Phishing deja el correo en Amenaza, Falso positivo en Limpio y Spam en Spam. Si quieres responder sin tocar la clasificación, destilda «Marcar como resuelto al enviar» antes de enviar, o usa Respuesta personalizada, que no cambia la categoría. Para elegir una categoría a mano, hazlo desde la etiqueta de la columna Categoría en el listado.
Un correo aparece como «Amenaza» y nadie lo revisó todavía. ¿Por qué?
Es la sugerencia del análisis automático. Se reconoce por el ícono de varita al lado de la etiqueta. Cuenta como pendiente hasta que alguien la confirme o la cambie.
No veo «Analizando...» ni la varita en ningún correo. ¿Está roto?
Lo más probable es que tu empresa no tenga habilitado el análisis automático, o que el correo no se haya guardado en la bandeja, o que haya llegado por el bot de Whalemate. Si querés activarlo, consultá con tu representante de Whalemate.
Un correo quedó en «Desconocido» y sin varita. ¿Por qué no tiene sugerencia?
Si el correo no traía enlaces, no hay nada que analizar. En la pestaña Dominio & URLs vas a ver «Este correo no contenía links para analizar».
Un enlace claramente malicioso me dio «Limpio». ¿Está roto el análisis?
No necesariamente. El análisis consulta el enlace contra un servicio de reputación, y un dominio registrado hace pocos días todavía no figura en ninguna lista. Por eso la sugerencia es orientativa y la decisión final es de quien revisa.
En un reporte viejo veo un enlace con código pegado al final.
Es un reporte anterior a la corrección que limpia las direcciones. Los reportes ya guardados conservan lo que se guardó en su momento; los nuevos entran limpios.
¿Puedo bajar la bandeja a Excel?
Sí, con el ícono de descarga de la barra superior. Baja un CSV con todos los reportes que cumplen los filtros activos, no solo la página que estás viendo.
¿Dónde veo las URLs y el dominio del correo reportado?
En la pestaña Dominio & URLs dentro del detalle del incidente.
¿Cómo sé qué pasó con un incidente y quién lo gestionó?
En la pestaña Historial, que lista cada acción con el usuario que la realizó y la fecha/hora exacta.
La bandeja está vacía y sé que mi gente reporta correos.
Revisa en Configuración → Botón de Reporte que la opción Almacenar los correos reportados en la plataforma esté activada. Con esa opción apagada, los reportes se reenvían por correo pero no quedan almacenados en la plataforma. Y ten en cuenta que los correos de una simulación de phishing nunca entran acá: se registran como «reportado» dentro de la campaña.
¿Tienes feedback o quieres solicitar mejoras? Cuéntanos en roadmap.whalemate.com/roadmap
