Hemos recibido una nota de prensa por parte de Proofpoint, os la dejamos a continuación:
Ciberseguridad en Navidad: cuidado con los datos que revelan los mensajes de fuera de la oficina
Durante las navidades, es habitual crear una respuesta automática de fuera de la oficina. De hecho, configurar este tipo de avisos, es algo que ayuda a poder disfrutar del tiempo que nos ausentamos del trabajo y también evita que quien se dirige a nosotros pueda pensar que no le estamos prestando atención.
Pero el problema es que cuando se dan demasiados detalles, los cibercriminales obtienen información de cuando estás ausente y pueden utilizar esta situación para comprometer tu cuenta, sabiendo el tiempo exacto que tienen para poder suplantar tu personalidad o realizar cualquier otra actividad maliciosa. Y sus objetivos incluyen a cualquier persona que tenga acceso a datos sensibles y también aquellas que tienen influencia en determinadas áreas y operaciones (financieros, recursos humanos, personal directivo)
Una vez dentro de la cuenta, ya no existen límites para los daños que pueden causar en tu nombre, porque el receptor piensa que el mensaje llega desde una fuente de confianza. Así pueden enviar malware, pedir a compañeros de trabajo información personal o incluso fondos para pagar facturas a empresas falsas. Por ejemplo, si eres el CEO o el CFO, se podría recibir un email desde tu nombre a la dirección genérica de recepción de facturas del departamento diciendo algo como “estoy a punto de subir a un avión, por favor haz una transferencia de (cantidad de dinero) para la empresa X”
Tres consejos clave para minimizar riesgos
Proofpoint, una de las empresas líderes en ciberseguridad y cumplimiento normativo, como parte de su estrategia de formación sobre ciberseguridad, ha elaborado un breve listado de consejos que te ayudarán a balancear mejor entre los parámetros de productividad y seguridad de tu empresa durante las ausencias en Navidad.
Consejo 1: comparte la menor cantidad posible de detalles
Cuando redactes tus mensajes de fuera de la oficina, ten en cuenta qué personas necesitan saber realmente que estás ausente. La razón es simple: cualquiera que sepa tu dirección de correo puede enviarte un mensaje mientras estás fuera de la oficina. No debería haber ningún problema en que tus contactos profesionales más cercanos sepan que estás de vacaciones durante unos días. Pero ¿qué pasaría si tu respuesta le llegase a un cibercriminal que tratase de robar datos de tu organización?
Lo mejor es evitar compartir la siguiente información en respuestas automáticas, siempre que sea posible:
- Tu número de teléfono directo, o el de tu jefe y tus colaboradores
- Los números personales de teléfono móvil
- Nombres, cargos y direcciones de correo de otros miembros de tu organización
- Fechas y detalles concretos sobre tu ausencia
Por ejemplo, en lugar de esta respuesta:
“Estaré fuera de la oficina durante el periodo de vacaciones de Navidad. Si tienes algún asunto urgente, por favor, ponte en contacto conmigo en mi móvil (223-12-34-56), o ponte en contacto con nuestro director financiero, Juan Finanzas, en jfin@mitrabajo.xyz, o a través de su número directo 191 555 678, extensión 123”.
…plantéate utilizar esta otra:
“Actualmente estoy fuera de la oficina. Si tienes algún asunto urgente, puedes localizarme en mi teléfono móvil o contactar con algún otro miembro de mi departamento a través de correo o del teléfono de la oficina. En cualquier otro caso, responderé a tu mensaje tan pronto como me sea posible”.
Ambas respuestas dan la suficiente información para que cualquier persona con la que tengas una relación fluida pueda actuar en consecuencia. Pero la segunda opción hará que aquellos remitentes con los que no tienes demasiada relación, incluidos los de mensajes no solicitados y los usuarios maliciosos, reciban la menor cantidad posible de datos con los que trabajar.
Consejo 2: da respuestas separadas a correos internos y externos
Algunas herramientas de correo te permiten ajustar tus respuestas de fuera de la oficina dependiendo del origen del mensaje entrante. Sácale partido a esta opción siempre que puedas. Puedes fiarte más de dar el nombre de la persona que te cubre en tu ausencia o su extensión en aquellas respuestas que lleguen a personas de tu organización. Sin embargo, aún en estos casos, deberías evitar ofrecer ningún tipo de información personal, como por ejemplo los números de teléfono móvil de tus compañeros de trabajo.
Para las respuestas externas, el consejo número 1 de esta lista debería ser tu guía principal: revela la menor cantidad de datos posible. Si rara vez (o nunca) tienes contacto para temas críticos de negocio con personas ajenas a tu empresa, plantéate incluso no poner un mensaje de fuera de la oficina para ellos, particularmente si vas a estar fuera durante poco tiempo.
Consejo 3: gestiona la “necesidad de información” antes de irte
No dependas exclusivamente de las respuestas de fuera de la oficina para dar las indicaciones adecuadas a las personas de dentro o de fuera de tu organización con las que tratas habitualmente. Esto es particularmente importante si formas parte de una cadena de aprobaciones de actividades críticas o sensibles para la empresa, como las siguientes:
- Solicitudes o autorizaciones para transferencias o pago de facturas
- Transmisión de información regulatoria, legal, de impuestos o de salud personal
- Intercambios de correo que contengan datos confidenciales o relativos a la propiedad intelectual
Antes de salir de la oficina, haz una lista de las personas con más probabilidad de que te contacten para temas sensibles mientras estás fuera. Ponte en contacto con ellas y hazles saber dónde estarás, cómo podrán localizarte en caso de emergencia y las personas que estarán al mando durante tu ausencia. Infórmales también de tus intenciones durante tu ausencia (por ejemplo, si vas a chequear el correo de forma regular u ocasional, o si tu plan es desconectar totalmente de tus actividades profesionales).
Además, avisa a los contactos apropiados para que te alerten -si es necesario, incluye a tu equipo de TI- sobre cualquier petición relacionada con transacciones financieras o con la transmisión de datos sensibles mientras estás ausente. Y recuerda, ya estés de viaje, vacaciones o no, las comunicaciones y acciones relacionadas con este tipo de actividades deberían revisarse apropiadamente y hacerse siempre de forma oral, en lugar de estrictamente a través de correo electrónico.
