Criminelen houden van out-of-office berichten!

Een out-of-office bericht (OOO) is bedoeld om anderen te informeren over je afwezigheid. Vaak vermeld je wanneer je terugkomt en bij wie mensen terechtkunnen met dringende vragen.

Voor cybercriminelen is dat interessante informatie. Ze krijgen daarmee inzicht in:

- Je afwezigheid: wanneer je niet bereikbaar bent en mogelijk minder snel reageert op verdachte activiteiten.
- Je functie: welke verantwoordelijkheden je hebt en welke informatie of processen bij jouw werkzaamheden horen.
- Contactpersonen: welke collega jouw werkzaamheden overneemt en wie mogelijk bevoegd is om beslissingen te nemen.
- Interne processen: hoe werkzaamheden worden overgedragen en wie waarvoor verantwoordelijk is.

Op zichzelf lijken dit misschien onschuldige gegevens. Maar in combinatie met informatie van bijvoorbeeld LinkedIn, bedrijfswebsites of andere openbare bronnen ontstaat een steeds completer beeld van je organisatie.

Criminelen gebruiken verzamelde informatie om hun berichten en verzoeken zo geloofwaardig mogelijk te maken. Dit noemen we social engineering: mensen manipuleren om bijvoorbeeld vertrouwelijke informatie te delen, betalingen uit te voeren of toegang te geven tot systemen.

Een out-of-office bericht kan daarbij verschillende soorten aanvallen ondersteunen.

Een crimineel ziet in een automatisch antwoord dat een medewerker van de financiële administratie twee weken afwezig is. Ook wordt duidelijk welke collega als vervanger optreedt.

Met die informatie stelt de crimineel een gerichte e-mail op. Hij doet zich bijvoorbeeld voor als een leverancier en vraagt de vervanger om een factuur met spoed te betalen.

Stel dat een directeur in zijn out-of-office bericht vermeldt dat hij tot een bepaalde datum afwezig is. Een crimineel kan die informatie gebruiken om zich tegenover collega's voor te doen als de directeur.

De medewerker ontvangt bijvoorbeeld een dringend verzoek om een betaling uit te voeren of vertrouwelijke informatie te delen. De afwezige directeur kan het verzoek niet direct bevestigen, waardoor de kans op misbruik toeneemt.

Bij Business Email Compromise proberen criminelen zakelijke e-mailcommunicatie te misbruiken om geld of gevoelige informatie te verkrijgen.

Ze kunnen zich voordoen als een medewerker, leverancier of zakenpartner. Informatie uit een out-of-office bericht helpt om de juiste personen, functies en omstandigheden te achterhalen. Zo kan een frauduleus verzoek beter aansluiten op bestaande werkzaamheden en zakelijke relaties.

Je hoeft automatische afwezigheidsmeldingen natuurlijk niet uit te schakelen. Het gaat erom dat je bewust kiest welke informatie je deelt. Met deze tips beperk je de risico's.

1. Deel zo min mogelijk persoonlijke informatie

   Vermeld niet waar je naartoe gaat, waarom je afwezig bent of andere persoonlijke details. Een korte, zakelijke melding is voldoende.

2. Wees voorzichtig met contactpersonen

   Vermijd het noemen van specifieke collega's, hun functie of directe contactgegevens in externe automatische antwoorden. Verwijs bij voorkeur naar een algemeen e-mailadres of de centrale receptie.

3. Beperk informatie over je werkzaamheden

   Vertel niet welke projecten je tijdelijk overdraagt, welke betalingen nog openstaan of wie bepaalde beslissingen mag nemen. Dit soort informatie kan criminelen helpen om gerichte verzoeken op te stellen.

4. Maak onderscheid tussen interne en externe afwezigheidsmeldingen

   In veel e-mailprogramma's kun je verschillende automatische antwoorden instellen voor collega's en externe contacten. Maak daar gebruik van. Collega's hebben soms meer informatie nodig dan iemand buiten je organisatie.

5. Deel je vakantieplannen niet onnodig openbaar

   Wees ook op sociale media terughoudend met het delen van reisplannen en actuele informatie over je afwezigheid. Criminelen combineren informatie uit verschillende bronnen om hun aanvallen geloofwaardiger te maken.

Je kunt een afwezigheidsmelding prima klantvriendelijk houden zonder veel informatie prijs te geven. Bijvoorbeeld:

"Bedankt voor je bericht. Ik ben momenteel niet beschikbaar en kan je e-mail daarom niet direct beantwoorden. Voor dringende vragen kun je contact opnemen via info@bedrijfsnaam.nl. Je bericht wordt dan door de juiste collega opgepakt."

Kort, duidelijk en zonder onnodige informatie over je afwezigheid of collega's.

Een veilig out-of-office bericht is een goed begin, maar cybersecurity gaat verder dan alleen de juiste instellingen.

Criminelen gebruiken informatie uit verschillende bronnen om vertrouwen te wekken. Een medewerker kan daardoor een verzoek ontvangen dat op het eerste gezicht heel normaal lijkt, maar in werkelijkheid onderdeel is van een gerichte aanval.

Maak daarom duidelijke afspraken over het delen van bedrijfsinformatie, het controleren van afwijkende verzoeken en het uitvoeren van financiële transacties.

Een paar belangrijke aandachtspunten:

- Controleer onverwachte betaalverzoeken altijd via een tweede, onafhankelijk communicatiekanaal.
- Bevestig wijzigingen in rekeningnummers of betaalgegevens voordat je deze verwerkt.
- Laat medewerkers verdachte e-mails en verzoeken eenvoudig melden.
- Zorg dat vervanging en overdracht tijdens afwezigheid volgens duidelijke interne afspraken verlopen.
- Besteed regelmatig aandacht aan bewustwording en het herkennen van social engineering.

Een automatisch antwoord lijkt misschien een klein onderdeel van je dagelijkse communicatie, maar kan waardevolle informatie bevatten voor cybercriminelen. Vooral wanneer gegevens over afwezigheid, functies en contactpersonen worden gecombineerd met informatie uit andere bronnen.

Je hoeft out-of-office berichten niet te vermijden. Door bewust om te gaan met wat je deelt, voorkom je dat je criminelen onnodig op weg helpt.

Ook tijdens je vakantie verdient de digitale veiligheid van je organisatie aandacht. Zorg daarom niet alleen voor veilige afwezigheidsmeldingen, maar maak cybersecurity een vast onderdeel van je dagelijkse werkwijze.