Więc wyruszasz w podróż służbową. Masz bilety lotnicze, rezerwacje hotelowe i wszystko jest w porządku. Pozostało tylko jedno: nadszedł czas, aby ustawić komunikat autoreplikacji programu Outlook poza biurem, aby klienci lub współpracownicy wysyłali wiadomości e-mail, aby wiedzieć, jak skontaktować się z tobą, gdy jesteś daleko, lub będą wiedzieć, z kim mogą się skontaktować. Twoja nieobecność.
Wydaje się, że to właściwa rzecz, prawda? Źle. Autoodpowiedzi poza biurem mogą stanowić ogromne zagrożenie bezpieczeństwa.
Odpowiedzi dotyczące nieobecności mogą potencjalnie ujawnić ogromną ilość poufnych danych o Tobie każdemu, kto wysłał Ci e-maila, gdy Cię nie ma.
Przykład odpowiedzi wspólnej Out-of-Office
Będę poza biurem na konferencji XYZ w Burlington Vermont w tygodniu 1-7 czerwca. Jeśli potrzebujesz pomocy w kwestiach związanych z fakturami w tym czasie, skontaktuj się z moim przełożonym, Joe Somebody pod numerem 555-1212. Jeśli chcesz do mnie dotrzeć podczas mojej nieobecności, możesz skontaktować się ze mną w mojej celi w wieku 555-1011. Bill Smith - Wiceprezes Operacji - Widget [email protected]Chociaż powyższy komunikat jest pomocny, może być również szkodliwy, ponieważ w kilku krótkich zdaniach osoba w powyższym e-mailu ujawniła niewiarygodnie przydatną informację o sobie. Informacje te mogą być wykorzystywane przez przestępców do ataków inżynierii społecznej.
Poniższa przykładowa odpowiedź typu "z urzędu" zapewnia atakującemu:
Aktualne informacje o lokalizacji
Ujawnienie Twojej lokalizacji pomaga atakującym w poznaniu, gdzie jesteś i gdzie nie jesteś. Jeśli powiesz, że jesteś w Vermont, to wiedzą, że nie ma cię w domu w Wirginii. To byłby świetny czas, żeby cię okraść. Jeśli powiedziałeś, że jesteś w XYZ (tak jak Bill), wtedy wiedzą, gdzie cię szukać. Wiedzą również, że nie ma Cię w biurze i że mogą porozmawiać w swoim biurze, mówiąc coś takiego:
Informacje kontaktowe
Dane kontaktowe, które Bill ujawnił w odpowiedzi na nieobecność, mogą pomóc oszustom połączyć elementy potrzebne do kradzieży tożsamości. Mają teraz swój adres e-mail, jego numer służbowy i komórkowy oraz dane kontaktowe swojego przełożonego.
Kiedy ktoś wysyła wiadomość do Billa, gdy jego automatyczna odpowiedź jest włączona, jego serwer poczty e-mail wyśle mu automatyczną odpowiedź, która w efekcie potwierdza adres e-mail Billa jako prawidłowy adres roboczy. Email Spamerzy uwielbiają uzyskiwać potwierdzenie, że ich spam osiągnął prawdziwy cel na żywo. Adres Billa prawdopodobnie zostanie dodany do innych list spam jako potwierdzone trafienie.
Miejsce zatrudnienia, stanowisko, linia pracy i łańcuch dowodzenia
Twój blok podpisu często zawiera tytuł pracy, nazwę firmy, dla której pracujesz (która również pokazuje, jaki rodzaj pracy wykonujesz), twój adres e-mail oraz numery telefonu i faksu. Jeśli dodałeś "kiedy jestem poza domem, skontaktuj się z moim przełożonym, Joe Somebody", to właśnie ujawniłeś swoją strukturę raportowania i łańcuch dowodzenia.
Inżynierowie społeczni mogą wykorzystywać te informacje do scenariuszy ataków na podszywanie się. Na przykład mogą zadzwonić do działu HR Twojej firmy, udając swojego szefa i powiedzieć:
To jest Joe Somebody. Bill Smith jest w podróży i potrzebuję jego numeru identyfikacyjnego pracownika i numeru ubezpieczenia społecznego, aby móc poprawić jego formularze podatkowe.Niektóre konfiguracje wiadomości nieobecnych umożliwiają ograniczenie odpowiedzi, tak aby dotyczyły tylko członków domeny poczty e-mail hosta, ale większość osób ma klientów i klientów spoza domeny hostingu, więc ta funkcja nie pomoże im.
Utwórz komunikat bezpieczniejszej nieobecności w biurze
Zamiast mówić, że będziesz gdzie indziej, powiedz, że będziesz "niedostępny". Niedostępne może oznaczać, że nadal jesteś w mieście lub w biurze, biorąc udział w zajęciach szkoleniowych. Pomaga to złym ludziom dowiedzieć się, gdzie naprawdę jesteś.
Nie podawaj informacji kontaktowych
Nie podawaj numerów telefonów ani wiadomości e-mail. Powiedz im, że będziesz monitorował swoje konto e-mail, jeśli będzie musiał się z Tobą skontaktować.
Unikaj danych osobowych i usuwaj swój podpis
Pamiętaj, że pełne osoby obce, a także oszuści i spamerzy mogą zobaczyć Twoją automatyczną odpowiedź. Jeśli normalnie nie podasz tych informacji o podpisie nieznajomym, nie umieszczaj ich w autoodpowiedzi.
