Ofis dışı yanıtları: Gereğinden fazla bilgi yaymayı nasıl önleyebilirsiniz?

Birçok çalışan, bir tatil veya iş gezisinden önce gelen e-postalara otomatik bir yanıt yapılandırır; böylece müşteriler ve iş arkadaşları, yokluklarında kiminle iletişim kuracağını bilirler. Genellikle bu tür mesajlar seyahatin süresini, yerlerine geçen çalışanların iletişim bilgilerini ve bazen mevcut projelerle ilgili bilgileri içerir.

Otomatik yanıtlar zararsız gözükebilir ancak bir iş tehdidi oluşturabilir. Çalışan alıcı listesini kısıtlamazsa otomatik yanıt, e-postası Gelen kutusuna düşen bütün göndericilere gidecektir; söz konusu gönderici, filtreleri aşmayı başarmış bir siber suçlu veya dolandırıcı da olabilir. Otomatik yanıttaki bilgi, hedefli bir saldırı gerçekleştirme için yeterli olabilir bile..

Tek cümle, büyük bela

İstenmeyen e-posta gönderenler söz konusu olduğunda, otomatik yanıtlar e-posta adresinin geçerli olduğunu ve belirli bir kişiye ait olduğunu doğrular. Bu kişilere, e-posta gönderdikleri kişinin adını, soyadını ve konumunu bildirir. İmzada genellikle bir telefon numarası da bulunur.

İstenmeyen e-posta gönderenler genellikle iletileri alıcılara zaman aşımına uğramaya başlayan ve daha az etkili olan devasa bir veritabanından gönderir. Ancak hattın ucunda gerçek bir kişi tespit edildiğinde, siber suçlular onları uygun bir hedef olarak işaretler ve çok daha sık posta göndermeye başlarlar. Hatta bu kişileri arayabilirler. Ancak bu en kötü ihtimal olmaktan çok uzaktır.

Otomatik yanıt bir kimlik avı e-postasına yanıt olarak gönderilirse isimleri, konumları, çalışma programları ve hatta telefon numaraları da dahil olmak üzere, yerlerine geçen çalışanlar hakkında verdiği bilgiler etkili bir hedef odaklı kimlik avı saldırısı için kullanılabilir. Bu sorun yalnızca büyük şirketleri etkilemiyor. Aslında, otomatik yanıtlar bilgi hırsızları için oldukça kolay lokmalardır; bu yanıtlar her türlü sosyal mühendislik amacı için kıymetli birer veri hazinesidir.

Siber suçlular neler yapabilir?

Peter’in detaylı bir otomatik yanıt bırakarak tatile çıktığını düşünün. Örneğin: “27 Mart’a kadar ofiste olmayacağım. “Camomile projesi hakkındaki sorularınız için lütfen Tati’yle (e-postası, telefon numarası) iletişime geçin. Medusa yeniden tasarım çalışması Andrew (e-postası, telefon numarası) tarafından yürütülüyor.”

Otomatik yanıt sonrasında, Andrew bir ileti alır ve bu ileti Medusa LCC’nin yöneticisi tarafından yazılmış gibi görünür. Siber suçlu, Peter ile önceden yapılan bir tartışmaya atıfta bulunarak Andrew’dan potansiyel bir UI tasarımını görmesini ister. Böyle bir durumda, Andrew’un eki açması veya bağlantıyı takip etmesi, dolayısıyla da çalışma bilgisayarını virüs riskine sokması olasıdır.

Üstelik siber suçlular, yerinde olmayan çalışana ve sözde beraber çalışma geçmişlerine atıfta bulunarak e-posta alışverişi yoluyla gizli bilgilere zarar verebilir. Şirket hakkında ne kadar çok şey bilirlerse vekil çalışanın dahili belgeleri iletmesi veya ticari bir sır verme olasılığı o kadar yüksektir.

Ne yapmalısınız?

Otomatik yanıtların getireceği baş ağrısını engellemek için mantıklı bir ofis dışı ileti politikası gereklidir.

• Hangi çalışanların bu yanıtları gerçekten kullanması gerektiğini belirleyin. Çalışan yalnızca birkaç müşteriyle ilgileniyorsa bir kereye mahsus bir e-posta veya telefon aracılığıyla yokluğunu bildirebilir.
• Görevleri yalnızca bir kişi tarafından telafi edilen çalışanlar için, yeniden yönlendirme kullanmak mantıklıdır. Elbette her zaman uygun değildir ancak önemli mesajların gözden kaçmayacağını garanti eder.
• Çalışanlara biri dahili, diğeri harici adresler için olmak üzere iki otomatik yanıt seçeneği oluşturmalarını önerin. İş arkadaşlarınız için mesaja daha ayrıntılı talimatlar eklenebilir ancak yabancılara asgari düzeyde talimat verilmelidir.
• Çalışan yalnızca iş arkadaşlarıyla yazışıyorsa harici adreslere giden otomatik yanıtları tamamen kaldırın.
• Her durumda, çalışanlara otomatik yanıtların gereksiz bilgiler içermemesi gerektiğini bildirin. Ürün gruplarının veya müşterilerin isimleri, iş arkadaşlarının telefon numaraları, çalışanın tatile gittiği yerler hakkında bilgi ve diğer detaylar gereksizdir.
• Ayrıca posta sunucusunda, istenmeyen e-posta ve kimlik avı girişimlerini otomatik olarak algılayan ve aynı zamanda kötü amaçlı yazılım eklerini tarayan bir güvenlik çözümü kullanın.