Veel professionals gebruiken e-mailberichten met automatisch antwoord bij afwezigheid om klanten en collega’s te informeren over hun afwezigheid en om contactgegevens te verstrekken terwijl ze weg zijn. Het lijkt me het verantwoordelijke om te doen, toch? Niet noodzakelijk. Automatische antwoorden bij afwezigheid kunnen een groot beveiligingsrisico vormen. Afwezigheidsantwoorden kunnen mogelijk een enorme hoeveelheid gevoelige gegevens over u onthullen aan iedereen die u toevallig e-mailt terwijl u weg bent.
Voorbeeld van een algemeen afwezigheidsantwoord
Ik ben niet op kantoor tijdens de XYZ-conferentie in Burlington, Vermont, in de week van 1-7 juni. Als je in deze periode hulp nodig hebt met factuurgerelateerde problemen, neem dan contact op met mijn supervisor, Joe Somebody op 555-1212. Als je me tijdens mijn afwezigheid moet bereiken, kun je me bereiken op mijn mobiel op 555-1011.
Bill Smith – VP Operations – Widget [email protected]
Hoewel het bovenstaande bericht voor sommigen nuttig kan zijn, onthult het een schat aan potentieel gevoelige informatie voor anderen. Deze informatie kan door criminelen of hackers worden gebruikt voor social engineering-aanvallen. Het voorbeeld van een afwezigheidsantwoord hierboven biedt een aanvaller:
Huidige locatie-informatie
Het onthullen van je locatie helpt aanvallers om te weten waar je bent. Als je zegt dat je in Vermont bent, dan weten ze dat je niet in je huis in Virginia bent. Dit zou een goed moment zijn om je te beroven. Als je zei dat je bij de XYZ conferentie (zoals Bill deed), dan weten ze waar ze je moeten zoeken. Ze weten ook dat je niet in je kantoor bent en dat ze zich misschien een weg naar je kantoor kunnen praten door iets te zeggen als:
‘Bill zei dat ik het XYZ-rapport moest ophalen. Hij zei dat het op zijn bureau lag. Vind je het erg als ik bij hem op kantoor kom en het pak?’ Een drukke secretaresse zou zomaar een vreemdeling in Bills kantoor kunnen laten als het verhaal aannemelijk lijkt.
Contactgegevens
De contactgegevens die Bill onthulde, kunnen oplichters helpen om elementen samen te stellen die nodig zijn voor identiteitsdiefstal. Ze hebben nu zijn e-mailadres, zijn werk- en mobiele nummers en ook de contactgegevens van zijn supervisor. Wanneer iemand Bill een bericht stuurt terwijl zijn automatisch antwoord is ingeschakeld, zal zijn e-mailserver het automatische antwoord terugsturen, wat in feite bevestigt dat het e-mailadres van Bill een geldig werkadres is. E-mailspammers krijgen graag bevestiging dat hun spam een live doelwit heeft bereikt. Het adres van Bill wordt nu waarschijnlijk toegevoegd aan andere spamlijsten als een bevestigde hit.
Standplaats, functietitel, werklijn en commandostructuur
Uw handtekeningblok bevat vaak uw functietitel, de naam van het bedrijf waarvoor u werkt (waaruit ook blijkt wat voor soort werk u doet), uw e-mailadres en uw telefoon- en faxnummers. Als je hebt toegevoegd “terwijl ik weg ben, neem dan contact op met mijn supervisor, Joe Somebody”, dan heb je zojuist ook je rapportagestructuur en je commandostructuur onthuld. Social engineers kunnen deze informatie gebruiken voor scenario’s voor imitatieaanvallen. Ze kunnen bijvoorbeeld de HR-afdeling van uw bedrijf bellen en doen alsof ze uw baas zijn en zeggen:
Dit is Joe Iemand. Bill Smith is op reis en ik heb zijn werknemers-ID en burgerservicenummer nodig zodat ik zijn bedrijfsbelastingformulieren kan corrigeren.
Bij sommige instellingen voor afwezigheidsberichten kunt u het antwoord beperken, zodat het alleen naar leden van uw host-e-maildomein gaat, maar de meeste mensen hebben klanten en klanten buiten het hostingdomein, dus deze functie zal hen niet helpen.
Een veiliger automatisch antwoord bij afwezigheid maken
In plaats van te zeggen dat je ergens anders zult zijn, zeg je dat je “niet beschikbaar” zult zijn. Niet beschikbaar kan betekenen dat u nog steeds in de stad of op kantoor een trainingscursus volgt. Het zorgt ervoor dat de slechteriken niet weten waar je echt bent.
Geef geen contactgegevens op
Geef geen telefoonnummers of e-mails. Vertel hen dat u uw e-mailaccount in de gaten houdt als ze contact met u moeten opnemen.
Vermijd persoonlijke informatie en verwijder uw handtekeningblokkering
Onthoud dat complete vreemden en mogelijk oplichters en spammers uw automatische antwoord kunnen zien. Als u deze handtekeninginformatie normaal niet aan vreemden zou geven, plaats deze dan niet in uw automatische antwoord.