O Que Diz aos Atacantes a Sua Mensagem de "Fora do Escritório"?
Neste artigo
Vista pelos olhos de um atacante, a mensagem de "fora do escritório" que configura antes das férias é um pacote de informações entregue por si próprio. Normalmente diz até quando vai estar ausente, quem o substitui e o email e o telefone dessa pessoa. Os ataques de engenharia social assentam precisamente neste tipo de informação. Neste artigo explicamos como as respostas automáticas são exploradas e como escrever uma mensagem mais segura.
O que diz uma resposta automática a um atacante?
Uma resposta automática típica inclui:
- Até quando vai estar incontactável
- Quem o substitui
- O nome, cargo, email e telefone dessa pessoa
- Por vezes, onde está ("estou no estrangeiro", "estou numa feira")
A resposta automática é também enviada a qualquer email vindo de fora da organização. Ou seja, para obter esta informação, basta ao atacante enviar-lhe um email.
O que faz o atacante com esta informação?
Os ataques de engenharia social vivem do momento certo e do contexto. Um atacante que sabe que está ausente pode enviar a quem o substitui um pedido urgente em seu nome. "O Dr. Silva está de férias, precisa de aprovar este pagamento por ele" é surpreendentemente convincente quando chega no momento certo.
Se o nome, o email e o telefone de quem o substitui estiverem também na mensagem, a sua resposta automática completa o reconhecimento do atacante. Esta informação é usada sobretudo em cenários de usurpação de identidade de gestores e fraude do CEO: o gestor está incontactável, quem o substitui não consegue confirmar o pedido e a pressão da urgência entra em jogo.
Uma mensagem de "fora do escritório" mais segura
Partilhe os contactos de quem o substitui diretamente com as pessoas com quem trabalha e deixe-os fora da resposta automática. Na resposta externa, escreva apenas:
"Tenho acesso limitado ao email. Para assuntos urgentes, ligue para o escritório."
Esta pequena alteração mantém o fluxo de trabalho interno e reduz ao mínimo a informação que sai para fora.
Medidas adicionais para as organizações
- Separe a resposta interna da externa. Muitos sistemas de email permitem definir respostas automáticas diferentes para dentro e para fora da organização. A informação detalhada pode ficar apenas na resposta interna.
- Clarifique os processos de substituição. Se chegar um pedido de pagamento ou de acesso em nome de um gestor ausente, a confirmação por um segundo canal deve ser obrigatória.
- Informe os colaboradores. O padrão "o seu chefe está de férias, precisamos de uma aprovação urgente" deve constar da formação em sensibilização e das simulações de phishing.
A cultura de segurança constrói-se precisamente com pequenos hábitos como estes.
Perguntas frequentes
Devemos deixar de usar respostas automáticas?
Não. As respostas automáticas são úteis na comunicação profissional. O importante é deixar os pormenores desnecessários fora da resposta externa.
Porque é arriscado indicar o substituto na resposta externa?
Diz ao atacante quem visar e em nome de quem falar. Isto encurta a fase de preparação dos ataques de phishing direcionado e de usurpação de identidade de gestores.
É possível desligar a resposta automática para remetentes externos?
Sistemas como o Microsoft 365 e o Google Workspace permitem enviar a resposta automática só dentro da organização ou só para os seus contactos. A equipa de TI pode também configurar estas opções por predefinição.
---
Os programas de sensibilização da InfoLore abrangem hábitos do dia a dia como estes e cenários de engenharia social. Contacte-nos para desenharmos um programa para a sua equipa.
Artigos relacionados
Conduz todo o ciclo dos programas de sensibilização, da análise de necessidades ao relatório de impacto. Trabalhou em gestão de canal e consultoria de cibersegurança na Elcore Group e na Digital Deals, depois de mais de quinze anos na Turkcell e na Türk Telekom. Autor de "Outrun the Lion", um livro sobre o erro humano na cibersegurança.