Uma simples resposta Out of Office pode expor informação valiosa para ciberataques. Saiba o que deve deixar de fora para não transformar o ‘OOO’ em ‘OOOps’.
Personalizar e ativar o Out of Office (OOO) é um daqueles gestos automáticos que antecedem as férias. Fechamos tarefas, desligamos notificações, configuramos a resposta automática no email, despedimo-nos dos colegas e partimos para uns dias de descanso. Mas há um detalhe que muitas vezes passa despercebido: a mensagem que informa que estamos ausentes também pode estar a revelar demasiado sobre a empresa.
Datas, contactos, funções, equipas, operações e até hábitos de trabalho. Estes elementos parecem inofensivos quando analisados isoladamente, mas podem tornar-se peças importantes para quem procura explorar vulnerabilidades através de técnicas de engenharia social ou phishing. Até porque no verão as equipas estão mais dispersas e os ritmos de trabalho mudam.
Exemplo:
Costuma deixar o email de outra pessoa como contacto na mensagem de Out of Office? Pois… está a revelar que o seu email é verdadeiro, que está fora da empresa, e ainda a dar outro email que pode ser mais uma porta para um ciberataque.
Porque é que os atacantes valorizam este tipo de informação?
A maioria das tentativas de phishing e fraude não depende apenas da tecnologia. Depende da confiança. São frequentemente baterias de emails enviados para centenas ou milhares de destinatários, à procura de uma porta aberta, ou pelo menos não trancada, que pode ser a mensagem de OOO.
Um Out of Office é, desde logo, a prova de que um endereço de email está ativo, entra imediatamente no radar de atacantes. A partir daí, quanto mais informação um cibercriminoso tiver sobre uma empresa, mais fácil é criar mensagens que parecem legítimas, identificar as pessoas certas para abordar ou explorar momentos de menor vigilância.
Saber pela mensagem de Out of Office que um colaborador está ausente, que uma equipa está reduzida ou que determinada pessoa assumiu temporariamente algumas responsabilidades pode ser suficiente para aumentar a credibilidade de um email fraudulento. É por isso que uma resposta automática OOO deve ser encarada como qualquer outro conteúdo corporativo: tudo o que é comunicado deve ter um propósito claro, focar o essencial apenas.
Os detalhes que vale a pena evitar
Há vários tipos de informação que aparecem frequentemente em mensagens de OOO e que parecem inocentes, mas no fundo são dispensáveis do ponto de vista da comunicação - e muito valiosos do ponto de vista de um atacante.
- Datas exatas de férias e de regresso
Indicar o período completo de ausência pode revelar quando será mais difícil contactar ou validar algum tipo de informação com uma determinada pessoa. Imagine: de repente aparece uma fatura urgente para pagar, o responsável financeiro está de férias e quem ficou com essa pasta não conhece todos os fornecedores ao detalhe.
A mensagem de OOO não precisa de fornecer um calendário detalhado para cumprir o seu objetivo de explicar que se está ausente.
- Informação sobre equipas reduzidas
Referências a períodos com menos recursos ou menor disponibilidade operacional podem transmitir uma percepção de vulnerabilidade organizacional. Imagine: explica que a equipa está reduzida a X pessoas, pelo que as respostas a emails vão demorar mais tempo. Aquilo que parece apenas um detalhe operacional pode ser visto como uma oportunidade por quem procura explorar fragilidades
O Out of Office é essencialmente seu, não é preciso dizer quantas pessoas estão ou não estão, apenas explicar que vai estar ausente.
- Identificação desnecessária de colegas
Nomear colegas, cargos ou responsabilidades internas ajuda a mapear a estrutura da empresa e fornece informação que pode ser utilizada para tornar ataques de engenharia social mais direcionados e credíveis.
Quanto menos detalhes sobre pessoas e funções há no OOO, menor é a exposição da organização.
- Localização e motivo da ausência
Informar que está fora do país, em viagem de negócios ou de férias, numa determinada localização, não acrescenta valor imediato ao destinatário e pode expor informação desnecessária.
A ausência pode ser comunicada sem revelar onde está, a fazer o quê ou porque está fora.
- Informação operacional sensível
Prazos, interrupções de serviço, atrasos operacionais ou alterações temporárias na atividade da empresa não devem fazer parte de uma resposta automática. Lembre-se que tanto um cliente ou parceiro habitual como o restaurante a quem deu o seu email ou até a empresa de distribuição de encomendas vão receber a mensagem OOO.
Se a informação do Out of Office não é essencial para qualquer pessoa que receba a mensagem, não deve estar na mensagem.
Menos contexto é, muitas vezes, a melhor resposta
Uma boa mensagem de Out of Office não tem de ser extensa. Na maioria dos casos, basta informar que existe uma indisponibilidade temporária e indicar um canal alternativo de contacto, quando necessário, sem revelar detalhes adicionais. A simplicidade não é apenas uma questão de comunicação. É também uma prática fundamental de cibersegurança.
Exemplo:
Obrigado pelo seu contacto.
Neste momento não estou disponível, responderei assim que me for possível.
Separar destinatários, uma alternativa eficaz
Ter uma mensagem genérica é a melhor opção, mas às vezes é importante deixar alguma informação relevante, como a data de regresso ou a pessoa que substitui. Isso acontece mais, por exemplo, em empresas com muitos trabalhadores ou com equipas dispersas por vários locais, em que não há contacto regular entre todas as pessoas.
Nesta situação, quando deixar uma data ou um contacto é a garantia de que as operações da empresa prosseguem normalmente, a solução é criar duas mensagens automáticas de OOO: uma interna, para os colaboradores que partilham o mesmo domínio da marca/empresa - do tipo @empresa.pt ou @organização.com -, com alguns detalhes mais sensíveis; e uma mensagem externa, mais simples, para todos os endereços externos que enviem um email.
O verão traz outros riscos digitais
As mensagens de Out of Office são apenas uma peça do puzzle de cibersegurança na altura das férias. Nesta altura do ano, aumenta também a utilização de redes Wi-Fi públicas, o acesso remoto a sistemas empresariais a partir de diferentes locais e, muitas vezes, o recurso a equipamentos pessoais para atividades profissionais. Ao mesmo tempo, o ritmo mais descontraído das férias pode levar a uma diminuição da atenção perante mensagens suspeitas, pedidos urgentes ou tentativas de phishing.
Por isso, além de rever a sua resposta automática, vale a pena confirmar que os acessos remotos estão protegidos por VPN e autenticação multifator (MFA), que os dispositivos se mantêm atualizados e que as boas práticas de segurança continuam a ser seguidas fora do escritório. E lembre-se: no verão, os cibercriminosos não vão de férias. Desconfie de mensagens inesperadas, pedidos urgentes ou contactos que pareçam fora do habitual.
Principais takeaways antes de ativar o seu Out of Office:
✔ Evite indicar datas exatas de férias ou de regresso;
✔ Não revele que a equipa está reduzida ou com menos capacidade de resposta;
✔ Não identifique colegas, funções ou responsabilidades internas sem necessidade;
✔ Evite partilhar números pessoais ou outros canais não oficiais;
✔ Não divulgue localizações ou motivos da ausência;
✔ Não inclua informação operacional ou de negócio sensível;
✔ Mantenha a mensagem simples, clara, profissional e limitada ao essencial;
✔ Crie mensagens Out of Office distintas para fora ou dentro da empresa.
Em cibersegurança, quanto mais dados e contexto, mais informação fica disponível para potenciais atacantes. E, por vezes, a diferença entre um OOO e um OOPS está apenas em algumas palavras.
Saiba mais sobre Cibersegurança e sobre estratégias para proteger a sua empresa aqui.
