Out of office: Less is More

Onbewust veiligheidsrisico door verkeerde out of office reactie

Met het vakantieseizoen in het verschiet zullen veel mensen ernaar uitkijken om het werk even naast zich neer te leggen, een automatische out of office reactie in te stellen op hun e-mailaccount en te genieten van hun welverdiende rust. Groot gelijk! Toch kunnen deze out of office reacties onbewust een veiligheidsrisico vormen door cybercriminelen te voorzien met een schatkist aan informatie die zij kunnen gebruiken om een aanval op jou, jouw collega’s of je organisatie voor te bereiden.
 
Daarom licht ik in deze blog graag de risico’s toe die vastzitten aan out of office reacties en geef ik een aantal tips mee om ervoor te zorgen dat je deze reacties op een veilige, doch informatieve manier opstelt.

Laten we dit doen aan de hand van een fictief voorbeeld van een out of office reactie:

Hi,

Bedankt voor je mail. Ik ben echter van 13 tot en met 28 juli op vakantie op Bali en ben dus pas vanaf maandag 29 juli weer bereikbaar. Voor vragen kan je contact opnemen met mijn manager Lisa Janssen via Lisajanssen@organisatie.nl of 06 123456789. In urgente gevallen kan je mij op mijn privénummer bereiken op 06 987654321. Ik zal zo snel mogelijk bij je terugkomen zodra ik weer aan het werk ben

Met vriendelijke groet,

Bob Timmerman - Quality Engineer
Bobtimmerman@organisatie.com
06 567891234

In deze reactie zit veel informatie die voor cybercriminelen enorm waardevol kan zijn:

1. Locatie
   Door te vertellen waar je je tijdens je vakantie bevindt, kunnen criminelen deze informatie gebruiken om een overtuigende spearphishing aanval op te stellen. Ze kunnen nu dus refereren naar jouw vakantie op Bali, wat een phishingmail overtuigender en betrouwbaarder over laat komen. Bovendien weten zij nu dat je niet thuis bent, wat het risico op een fysieke inbraak vergroot.
   
   
2. Contactinformatie
   Door de contactinformatie van zowel jouzelf als jouw manager in je out of office mee te nemen, geef je veel onnodige informatie weg. Criminelen kunnen deze informatie gebruiken om realistische en doelgerichte aanvallen op te stellen. Ook het delen van je privénummer in de out of office, geeft hackers een extra mogelijkheid om een aanval op te zetten, door bijvoorbeeld Whatsapp phishing.
   
   
3. Functietitels en handtekening
   Door zowel je eigen functietitel in je out of office reactie op te nemen als te benoemen wie je manager is, geef je wederom veel informatie aan mogelijke criminelen en verklap je een onderlinge hiërarchie. Dit is allemaal informatie die tegen jou of collega’s gebruikt kan worden in de vorm van doelgerichte phishingmails.
   
   
4. 'Header' informatie
   Elke mail bevat zogenaamde ‘header’ informatie, die je kunt inzien in de eigenschappen van de mail. Dit bevat technische details over onder andere de verzender en ontvanger, maar ook over de software en servers die gebruikt zijn bij het opstellen en verzenden van de mail. Al deze informatie kan voor hackers erg interessant zijn bij het opzetten van een aanval en deel je daardoor dus liever niet met vreemden.