Puede ocurrir que un empleado aparezca como comprometido en una campaña de Simulation aunque no haya caído en la trampa. El caso más frecuente: el empleado detectó el correo y lo transmitió a vuestro equipo de seguridad, que después lo analizó con una herramienta automática. Fue esa herramienta la que hizo clic en el enlace e introdujo credenciales, y Riot atribuyó estas acciones al empleado.
Este artículo explica por qué este estado no puede modificarse y cómo retirar el ataque de los resultados de vuestra campaña.
1️⃣ ¿Por qué no se puede modificar el estado «comprometido»?
En cuanto un empleado queda marcado como comprometido en un ataque, este estado es definitivo. No es posible retirarlo, ni convertir el ataque en un reporte:
un reporte realizado después del compromiso no cambia el estado;
la acción «Mark as reported» se rechaza en un ataque ya comprometido.
Esta regla garantiza que vuestras estadísticas reflejen lo que realmente ocurrió en el momento del ataque.
👍 Bueno saber: un correo transmitido a vuestro equipo de seguridad por un canal distinto de Riot (una dirección interna, un ticket…) no se contabiliza como reporte. Para que se reconozca el buen reflejo del empleado, el reporte debe hacerse a través de Riot.
2️⃣ Retirar el ataque de los resultados de la campaña
Si estáis seguros de que no fue el empleado quien actuó, podéis ignorar el resultado de su ataque. El ataque queda entonces excluido de las estadísticas de la campaña y del cálculo de los Smart Groups.
👉 Paso 1: abrid la campaña correspondiente y haced clic en el empleado: el detalle de su ataque se abre en un panel a la derecha.
👉 Paso 2: haced clic en el menú «…» en la parte superior derecha de este panel.
👉 Paso 3: seleccionad «Ignore attack result».
⚠️ Importante: un ataque ignorado no se contabiliza ni como comprometido, ni como reportado. Simplemente desaparece de los resultados. En cambio, sigue apareciendo en la exportación CSV de la campaña, lo que explica una posible diferencia entre la exportación y el panel de control.
👉 Antes de ignorar un ataque, comprobad qué ocurrió
Abrid el detalle de la actividad del empleado: la cronología con fecha y hora y la ubicación de las acciones permiten a menudo reconocer una herramienta automática (acciones en pocos segundos, desde un país o una red inusuales). Las señales que hay que detectar se detallan en La actividad de los empleados en los correos de phishing no parece normal
En caso de duda, contactad con nosotros por el chat indicando la campaña y el empleado afectados: podemos ayudaros a comprobar el origen de las acciones.
3️⃣ Evitar que vuelva a ocurrir
Riot reconoce e ignora automáticamente los escáneres de seguridad más habituales, pero algunas herramientas se comportan exactamente como un navegador real y no se pueden distinguir de un empleado. Es el caso, en particular, de los sandbox de análisis, que abren la página y rellenan los formularios.
Pedid a vuestros empleados que reporten a través de Riot (botón de reporte o reenvío a la dirección dedicada) en lugar de por un canal interno: así el reporte se reconoce.
Avisad a vuestro SOC o a vuestro equipo de seguridad: un correo de simulación no necesita analizarse en un sandbox. Si la herramienta abre el enlace o introduce credenciales, es el empleado objetivo quien queda marcado como comprometido.
Autorizad Riot en vuestras herramientas de seguridad. Para Microsoft 365, seguid Configurar Microsoft 365.
Para recordar
El estado comprometido es definitivo: no puede retirarse ni sustituirse por un reporte.
Si no fue el empleado quien actuó, ignorad el resultado del ataque desde el menú «…»: el ataque sale de las estadísticas de la campaña.
Un ataque ignorado no cuenta ni como comprometido, ni como reportado.
Para que se reconozca el buen reflejo, el reporte debe hacerse a través de Riot y los correos de simulación no deben analizarse en un sandbox.