Un simple “Estoy de vacaciones” puede proporcionar a un ciberdelincuente información suficiente para empezar a preparar un ataque contra una empresa. Las respuestas automáticas de correo, habituales durante el verano, pueden revelar fechas de ausencia, nombres y contactos de sustitutos, cargos o departamentos y, en determinados casos, información sobre la estructura interna de una organización.
El problema no es activar una respuesta automática, sino la cantidad de información que contiene. Un mensaje que indique que el director financiero estará fuera hasta una fecha concreta y que durante su ausencia determinadas gestiones serán atendidas por otra persona ofrece al atacante un contexto que puede utilizar para construir un intento de suplantación mucho más creíble.
Esta información puede alimentar ataques de phishing dirigido, fraude del CEO (CEO Fraud) o Business Email Compromise (BEC). Poºr ejemplo, un delincuente podría aprovechar la ausencia de un responsable para hacerse pasar por él ante otro empleado o contactar con la persona que lo sustituye utilizando datos reales de la organización.
El factor humano sigue siendo uno de los principales elementos de riesgo para las organizaciones. Según el 2025 Data Breach Investigations Report de Verizon, el 60% de las brechas analizadas estuvieron relacionadas con algún componente humano, incluyendo errores, credenciales comprometidas e ingeniería social.
“Los ataques más sofisticados no siempre empiezan con una vulnerabilidad técnica. Pueden comenzar recopilando información aparentemente irrelevante sobre una empresa y sus empleados. Un mensaje de vacaciones demasiado detallado puede aportar precisamente ese contexto que necesita un atacante para que un correo fraudulento resulte creíble”, señala Ignasi Nogués, Chief Growth Officer de Qualiteasy Internet Solutions, distribuidor exclusivo en España de las soluciones de Faronics.
Una pequeña fuga de información con valor para el atacante
Para reducir esta exposición, los expertos recomiendan que los mensajes externos de ausencia sean breves y neutros. No es necesario especificar las fechas exactas de las vacaciones, el destino del empleado, su número de teléfono, el nombre y correo electrónico de su sustituto o información sobre clientes y proyectos.
Cuando sea necesario ofrecer un contacto alternativo, puede recurrirse a direcciones genéricas de la organización, como las de los departamentos de soporte o atención al cliente. Asimismo, las plataformas corporativas permiten configurar respuestas diferentes para usuarios internos y externos, de modo que la información operativa pueda limitarse a quienes realmente la necesitan.
“No se trata de eliminar los mensajes automáticos, sino de aplicar el mismo principio que utilizamos con cualquier otra información corporativa: compartir únicamente lo necesario. Cuantos menos datos tenga un desconocido sobre quién está disponible, quién toma una decisión y cuándo está ausente, más difícil será construir un ataque de ingeniería social convincente”, añade Nogués.
El periodo vacacional es también un buen momento para revisar otras medidas básicas, como la autenticación multifactor, los permisos de acceso, las copias de seguridad y la formación de los empleados para identificar intentos de phishing y suplantación.
En ciberseguridad, una información aparentemente inocente puede convertirse en una pieza más de un ataque. Y el mensaje de “Estoy de vacaciones” es un buen ejemplo de cómo una práctica cotidiana puede aportar a un ciberdelincuente datos que, combinados con otras fuentes, aumenten la eficacia de un fraude.
Tu opinión enriquece este artículo: