outlook郵件自動回覆 - 資安趨勢部落格

華爾街日報報導指出，員工不經意的行為恐讓銀行斥資數十億美元的防駭努力破功。比如駭客可從社交網站追蹤攻擊目標的員工分享的生活點滴,伺機找出攻擊時間點和可下手的員工, 許多銀行禁止員工使用USB等可攜式裝置，美國銀行（BoA）勸告員工不要使用語音和電子郵件的「不在辦公室」自動回覆功能，以免駭客盯上無人看管的電腦，趁隙攻擊。更多報導請參考:駭客入侵銀行從員工下手

防止資料外洩和針對性攻擊/鎖定目標攻擊(Targeted attack)是IT管理人員最關心的問題之一。管理人員所特別注意的事情之一，是對可能成為目標攻擊受害者的高價值人員所做的勘查和針對行為。不過，一個比較不被人注意到的資料外洩來源是Outlook 自動回覆（out-of-office）通知。試想一下標準的外出通知內容。會有收件者為何不在辦公室內的簡短說明，寄件者可以聯絡的替代對象，以及他們何時回來的預定時間。也可能包括使用者的電子郵件簽名，如果有的話。

約一半的魚叉式網路釣魚（Phishing）目標的電子郵件在Google上找得到
單獨來看，這些資訊似乎不是很多。然而，一個不懷好意的攻擊者可以輕易地去收集多個外出通知。根據趨勢科技發表的魚叉式網路釣魚(Spear Phishing)研究，大約有一半的魚叉式網路釣魚（Phishing）收件者的電子郵件地址可以利用Google在網路上找到。在大部分情況下，企業的電子郵件地址會遵循可預測的 firstname_lastname@companyname.com格式。這也使得只要知道員工的名字，就可以知道他們的電子郵件地址。

假期即將到來，也是不懷好意的攻擊者進行攻擊的機會來臨。當你使用這些自動回函時，心懷不軌的駭客，可說是找到”主人不在家”的大好機會，正好借機來個闖空門。無論是現實財務或是電子檔案，都有可能引發竊賊覬覦。根據報導，這類行騙得逞的案例，還真不少。如果你沒有警覺心，而將一些機密資料洩漏給對方，那麼損失可就慘重了。