Réponse automatique d'absence : la fausse bonne idée cyber de vos vacances
Pendant la période estivale, le recours aux réponses automatiques d’absence est une pratique standard, ancrée dans les usages professionnels. Pourtant, du point de vue de la sécurité des systèmes d'information, ces messages anodins constituent une source d'informations à forte valeur ajoutée pour les attaquants.
Loin d'être de simples outils de courtoisie, ils représentent pour les cybercriminels une opportunité de collecter du renseignement afin de maximiser le taux de réussite de leurs attaques d'ingénierie sociale.
Pourquoi ces messages automatisés sont-ils ciblés et comment encadrer cette pratique pour protéger votre infrastructure pendant l'été ?
La récolte d'informations : l'arme secrète des cyberattaquants
Avant de lancer une attaque ciblée, un attaquant cherche à cartographier sa cible. Un message d'absence trop détaillé lui fournit trois données stratégiques :
1. La chronologie de la vulnérabilité : Connaître les dates exactes de vos congés permet à l'attaquant de planifier son action au moment où la chaîne de décision est la plus fragile et où vous êtes indisponible pour confirmer une anomalie.
2. L'organigramme opérationnel : Mentionner explicitement le nom et les coordonnées de la personne qui assure votre intérim (« En mon absence, contactez Sophie au... ») permet au pirate d'identifier immédiatement le maillon à solliciter.
3. Le contexte métier : Préciser qu'un dossier ou qu'un projet spécifique est en attente donne à l'attaquant le prétexte parfait pour légitimer sa prise de contact auprès de vos équipes.
Le mécanisme de l'attaque par rebond en période estivale
Grâce à ces informations, le scénario de compromission devient redoutable. Fort des données récoltées, l'attaquant contacte le collaborateur désigné pour l'intérim. En usurpant l'identité d'un partenaire ou d'un fournisseur, il utilise le contexte précis du message d'absence pour instaurer un faux sentiment de confiance et d'urgence.
Face à des détails aussi spécifiques, la vigilance du collaborateur devient faibles et son esprit est dans la surcharges des différents dossiers, ouvrant la voie à un virement frauduleux ou à une exfiltration de données.
3 bonnes pratiques pour un message d'absence sécurisé
Pour concilier obligation professionnelle et exigences cyber, la mise en place d'une politique de gestion des réponses automatiques est recommandée :
- Appliquer le principe de sobriété informationnelle : Un message d'absence doit être factuel et minimaliste. Privilégiez une formulation neutre du type « Je ne suis pas joignable actuellement. Vos demandes seront traitées à mon retour », sans mentionner de localisation géographique ni de date précise de retour.
- Segmenter les réponses (interne vs externe) : La majorité des clients de messagerie professionnels permettent de configurer deux réponses distinctes. Réservez les détails organisationnels (noms des collaborateurs relais) à vos équipes internes, et diffusez un message générique et épuré pour l'extérieur de l'organisation.
- Utiliser des points de contact génériques : Plutôt que de fournir le numéro de mobile direct ou l'adresse e-mail nominative de votre remplaçant, redirigez les flux externes vers une boîte partagée surveillée (ex : commercial@company.com ou support@company.com). Cela casse la personnalisation de l'attaque.
La sécurité collective s'anticipe.
La résilience d'une entreprise face au risque cyber repose sur la somme des comportements individuels. En sensibilisant vos collaborateurs à la portée de leurs publications automatisées, vous réduisez considérablement la surface d'attaque de votre organisation pendant la trêve estivale.
