Registro de phishing por correo electrónico

Este informe es un registro de phishing a nivel de evento: una fila por cada interacción de simulación observada (fecha, acción, correo electrónico del destinatario, asunto, remitente, dificultad). Mantiene el formato largo: no condensa el historial de una persona en un único resultado. La consulta incorpora los 12 meses naturales más recientes en occurred_after (medianoche UTC del mismo día del mes de hace doce meses, no una duración de 365 días). La configuración, las credenciales, la paginación y el reintento por límite de solicitudes son los mismos que se describen en la guía de conectividad de Power BI / Excel. Agregue primero la consulta compartida Fn_FetchAll; este informe la invoca por su nombre.

​

Ámbitos de clave necesarios

Una clave con el único permiso simulation:read no puede llamar al endpoint de eventos de informes (la API devuelve 403). Consulte elija la granularidad adecuada.

​

Endpoints de origen

Filtros permitidos en la lista de eventos (cualquier otro devuelve 400): limit, page_token, simulation, entity, event_type, occurred_after. Esta familia de informes es un conjunto de datos en versión preliminar. Inspeccione el esquema del conjunto de datos y las políticas de datos en GET /v1/reporting/datasets y GET /v1/reporting/datasets/simulation_events.

​

Granularidad

Una fila por evento de simulación de informes. Una persona que abrió y luego hizo clic en el mismo mensaje genera dos filas. Los eventos con entity_id nulo (sin actor / destinatario / participante objetivo) también aparecen; email es nulo. La ventana de la API se amplía en un minuto; el límite exacto de occurred_at >= WindowStart se vuelve a aplicar localmente para que el último año no dependa de si el servidor trata occurred_after como inclusivo o exclusivo. Presupuesto de solicitudes: un recorrido paginado de los eventos en la ventana, más un recorrido de las entidades. Establezca siempre limit = "500".

​

Asignación de columnas

Los nombres de las columnas heredadas provienen de la exportación de su proveedor anterior. Los campos de /v1 son los nombres públicos de la API; la consulta asigna alias a algunos de ellos para el informe.

​

Tokens de acción

action es el token cerrado de informes. El “Email Sent” heredado se asigna a simulation.delivered (delivered es el verbo público; el token en la red es simulation.delivered). Campos adicionales que se conservan porque la API los incluye: sender_domain, full_name, event_id, entity_id, simulation_id, occurred_at, además de entity_type y entity_status de la unión de entidades.

​

Diferencias con la exportación anterior

• La IP sin procesar nunca está disponible. /v1 no expondrá la IP del cliente sin procesar: es una decisión de privacidad por diseño, no una asignación pendiente. La consulta no agrega una columna de IP de marcador de posición.
• El tipo de dispositivo es derivado, no sin procesar. device_type es una clase de dispositivo derivada para los eventos de clic, envío e informe. Entre los tokens observados se incluyen desktop, mobile, tablet y unknown, pero el emisor almacena una cadena de formato libre: trátela como texto abierto, no como una enumeración cerrada. Es nulo cuando el evento no tiene clase derivada, y la cadena user_agent sin procesar permanece privada.
• “Email Sent” es simulation.delivered. Utilice ese token al filtrar o contar envíos. No busque una cadena heredada email_sent.
• El correo electrónico del destinatario es una unión, no un campo del evento. El evento de informes omite el correo electrónico; la consulta recorre /entities para completarlo.
• Últimos 12 meses naturales, no una duración de 365 días ni el historial completo.
• Formato largo, no condensado. Una fila por interacción, no un resultado por persona.

​

Siguientes pasos