Els correus d’absència estival ofereixen informació que obre la porta a diferents tipus de ciberfraus i suplantacions.

«Estic de vacances» o «Out of Office» són missatges automàtics de correu electrònic que s’haurien d’eludir per evitar un ciberatac contra l’empresa. Aquests tipus de respostes, habituals durant l’estiu, donen pistes rellevants sobre calendaris d’absència, noms i contactes de substituts, càrrecs o departaments i, fins i tot, informació sobre l’estructura interna d’una organització.

La resposta automàtica en si no és un problema. El perill procedeix de la quantitat d’informació que es pot estar facilitant. Per exemple, si s’indica que el director financer estarà fora durant unes dates concretes i que les gestions poden ser ateses per una altra persona, es proporciona al ciberdelinqüent un escenari sobre el qual pot edificar una plataforma d’atac amb un intent de suplantació força creïble.

Pesca dirigida

Sense pretendre-ho, podem estar generant atacs de pesca dirigida, tipus frau del CEO o el compromís del correu electrònic empresarial. Un ciberdelinqüent amb habilitats d’enginyeria social podria interpretar el fet que un responsable estigui de vacances per fer creure un empleat que es tracta de l’original i treure’n informació rellevant.

El factor humà es manté com un dels principals elements de risc per a les organitzacions, tal com ho constata el 2025 Data Breach Investigations Report de Verizon: el 60 % de les bretxes analitzades van estar vinculades amb algun component humà, incloent-hi errors, credencials compromeses i enginyeria social.

El ciberdelinqüent amb poca informació en té prou 

Per tal de limitar aquesta exposició, els experts de l’empresa de programari Faronics recomanen que els missatges externs d’absència siguin breus i neutres. No cal que s’especifiquin les dates exactes de les vacances, la destinació de l’empleat, el número de telèfon, el nom i el correu electrònic del seu substitut o informació sobre clients i projectes.

Si cal subministrar un contacte alternatiu, es pot recórrer a adreces genèriques de la companyia, com les dels departaments de suport o atenció al client. A més, les plataformes corporatives permeten configurar diferents respostes per a usuaris interns i externs, perquè la informació operativa es pugui limitar als que realment l’hagin de tenir.

El període de vacances també representa un bon moment per a la revisió d’altres mesures bàsiques: autenticació multifactor, permisos d’accés, còpies de seguretat i formació dels empleats per identificar intents de pesca i suplantació.