Organisaties zijn voortdurend bezig met geavanceerde beveiligingsmaatregelen om gegevens te beschermen tegen allerlei bedreigingen. In omgevingen vol met digitale technologieën is cybersecurity daarom van vitaal belang. Maar cybersecurity betekent niet alleen het beveiligen van systemen tegen aanvallen, maar is ook het creëren van bewustzijn bij je medewerkers over potentiële zwakheden in de beveiliging. En vooral het vermijden van gedrag dat de deur opent voor cyberdreigingen. Met dat laatste komen we direct terecht bij het gedrag rond out-of-office berichten.

Out-of-office berichten zijn een bekend onderdeel van zakelijke professionele communicatie. Het is een beleefde manier om collega’s, klanten en zakenpartners op de hoogte te stellen van je afwezigheid. Het lijkt onschuldig zo’n automatische reactie die zegt waarom je er niet bent, waar je bent, wanneer je terug bent en wie te contacteren in je afwezigheid. Maar het zijn juist die details die bijzonder interessant kunnen zijn voor cybercriminelen.

Terwijl je een out-of-office bericht instelt met de allerbeste bedoelingen, realiseer je vaak niet hoe gevoelig de informatie is die je deelt. In veel OOO-meldingen wordt informatie onthuld over de locatie, het doel van de afwezigheid en soms zelfs persoonlijke gebeurtenissen. Op die manier zijn out-of-office berichten een ideale bron van informatie voor social engineering. Dat is een methode die een crimineel gebruikt om gegevens te verkrijgen door menselijke interactie en manipulatie. Als een medewerker bijvoorbeeld vermeldt dat hij op zakenreis is, kan een aanvaller dit gebruiken om een gerichte aanval op het bedrijf uit te voeren, waarbij ze zich voordoen als de afwezige persoon.

Vertrouwd en geloofwaardig overkomen is cruciaal voor criminelen. Dankzij succesvolle social engineering kan een crimineel net doen alsof hij een collega van je is. Door specifieke details, zoals terugkomstdata, bestemming en de reden voor de afwezigheid, te verzamelen uit out-of-office berichten, kunnen criminelen een geloofwaardig en doelgericht verhaal verzinnen. Bijvoorbeeld, door zich voor te doen als de CFO die op reis is. En op die manier in zijn naam een financiële transactie te vragen aan een collega. Dat lijkt minder verdacht als het gebaseerd is op de informatie uit een OOO-bericht.

• Bewustwording van risico’s: Hoe kunnen organisaties en individuen zich beschermen tegen deze subtielere vorm van cyberdreiging? Het begint met bewustwording. Werknemers moeten worden geïnformeerd over de potentiële risico’s van het delen van gedetailleerde informatie in out-of-office berichten.
• Bescherming door beleid: Bedrijven moeten overwegen om beleid op te stellen dat het delen van bepaalde gegevens in OOO-meldingen beperkt.