> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-en-es/email-security/suspicious-emails.md).

# Correos electrónicos sospechosos

Email Security detecta correos electrónicos sospechosos o maliciosos en tus buzones. El SOC de Stoïk revisa cada alerta: no se requiere ninguna acción por tu parte.

Hay dos tipos de amenazas por correo electrónico:

* **Fraude:** intentos de fraude financiero, como fraude de facturas o suplantación de un contacto conocido.
* **Phishing:** correos electrónicos que enlazan a una página que suplanta una marca conocida para robar credenciales.

## Tabla de alertas

Las alertas se enumeran en `Email Security` > `Correos sospechosos`. Cada fila muestra:

* **Asunto:** la línea del asunto del correo electrónico
* **Criticidad:** Bajo, Medio, Alto o Crítico
* **Usuario protegido:** el buzón que recibió o envió el correo electrónico
* **Fecha de detección:** cuándo se recibió el correo electrónico
* **Estado:** Abierto o Cerrado
* **Validez:** Indefinido, Falso Positivo o Verdadero Positivo
* **Acciones:** Ninguna, Banner y/o Cuarentena

Haz clic en una alerta para abrir sus detalles.

## Detalles de la alerta

### Información

* **Fecha de detección**: cuándo se recibió el correo electrónico
* **Usuario protegido**: el buzón que recibió o envió el correo electrónico
* **Tráfico**: entrante o saliente
* **Buzón**: Microsoft 365 o Google Workspace
* **Tipo**: Fraude o Phishing
* **Motivos**: por qué se marcó el correo electrónico (p. ej., usuario suplantado, información bancaria sospechosa)
* **Acciones**: las acciones tomadas por el SOC (p. ej., correo electrónico movido a cuarentena, banner de advertencia añadido). Véase [Acciones de remediación](/help/help-center-en-es/email-security/remediation-actions.md).
* **Estado**: Abierta o Cerrada
* **Validez**: Verdadero Positivo o Falso Positivo

{% hint style="info" %}
Los correos electrónicos muy sospechosos no se eliminan. Se trasladan a una `Stoïk Quarantine` carpeta, creada automáticamente en el buzón en la primera acción de cuarentena, de modo que siguen siendo recuperables.
{% endhint %}

### Veredicto

Un banner de color en la parte superior resume la evaluación. Su color y titular coinciden con la criticidad y el tipo de la alerta. Para una alerta de fraude:

<table><thead><tr><th width="173.8203125">Criticidad</th><th>Titular</th></tr></thead><tbody><tr><td>Crítico</td><td>Intento de fraude crítico detectado</td></tr><tr><td>Alto</td><td>Intento de fraude de alto riesgo detectado</td></tr><tr><td>Medio</td><td>Actividad sospechosa detectada</td></tr><tr><td>Bajo</td><td>Se detectaron anomalías menores</td></tr></tbody></table>

Para una alerta de phishing, el titular dice "phishing" en lugar de "fraude" (por ejemplo, "Intento de phishing crítico detectado"). Un breve resumen debajo del titular ofrece más contexto.

### Atacante

Cerrado de forma predeterminada. Muestra el nombre del remitente, el dominio del remitente y la dirección de correo electrónico del remitente.

### Contenido del correo electrónico

El correo electrónico original, tal como llegó a la bandeja de entrada: remitentes, destinatarios, asunto, fecha de envío, el banner de advertencia añadido por el SOC, si lo hay, y el cuerpo completo con su formato, imágenes y enlaces. Haz clic en **Expandir** para leerlo en una ventana más grande.

Los archivos adjuntos se enumeran a continuación. Stoïk analiza los archivos adjuntos (como PDF) en busca de indicadores de phishing y fraude, por ejemplo, enlaces incrustados o IBAN, pero no los analiza en busca de malware. La protección contra archivos maliciosos depende de la solución de seguridad instalada en tus dispositivos.

## Cronología de actividad

La sección Actividad enumera todo lo que ocurrió con la alerta, empezando por lo más reciente.

### Gestión de alertas

<table><thead><tr><th width="210.82421875">Paso</th><th>Significado</th></tr></thead><tbody><tr><td>Creación de la alerta</td><td>Cuando se recibió originalmente el correo electrónico.</td></tr><tr><td>Confirmación de la alerta</td><td>Cuando la alerta fue ingerida y confirmada en el sistema Stoik.</td></tr><tr><td>Procesamiento de la alerta</td><td>Cuando un analista del SOC empezó a investigar la alerta.</td></tr><tr><td>Cierre de la alerta</td><td>Cuando la alerta se resolvió y se cerró.</td></tr></tbody></table>

**Creación de la alerta** y **Confirmación de la alerta** siempre aparecen. **Procesamiento de la alerta** y **Cierre de la alerta** aparecen a medida que avanza la alerta.

{% hint style="info" %}
Cuando Email Security se activa por primera vez, los correos electrónicos recibidos hasta 90 días antes de la activación se analizan. En estos correos, la diferencia entre **Creación de la alerta** y **Confirmación de la alerta** puede ser grande. Esto es normal.
{% endhint %}

### Comprobaciones de señales

Cada comprobación muestra un punto de color: se encontró un problema, se detectó una anomalía o la comprobación se superó.

<table><thead><tr><th width="239.77734375">Comprobación</th><th>Qué hace</th></tr></thead><tbody><tr><td>Identidad del remitente</td><td>Verifica si el remitente está suplantando a un contacto conocido de tu organización.</td></tr><tr><td>Historial de comunicación</td><td>Verifica si este remitente se ha comunicado anteriormente con tu organización.</td></tr><tr><td>Reputación del remitente</td><td>Comprueba el dominio y la dirección de correo electrónico del remitente con bases de datos de amenazas conocidas.</td></tr></tbody></table>

La descripción de cada comprobación refleja su resultado real. Por ejemplo, `Reputación del remitente` dice "El dominio o la dirección de correo electrónico del remitente coincide con bases de datos de amenazas conocidas." cuando se marca, y "El dominio y la dirección de correo electrónico del remitente no se encontraron en bases de datos de amenazas conocidas." cuando se supera.

### Acciones, notas y correos electrónicos del SOC

* **Acciones y actualizaciones del SOC**: banners de advertencia, traslados a cuarentena y cambios de validez (por ejemplo, de **Indefinido** a **Verdadero Positivo**).
* **Notas del analista**: contexto escrito por el SOC de Stoïk sobre cómo se investigó la alerta, cuando sea relevante.
* **Intercambios de correos electrónicos**: los correos electrónicos intercambiados entre Stoïk y tu organización sobre la alerta.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-center-en-es/email-security/suspicious-emails.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.