Per seguretat, i evitar ciberatacs, el correu institucional de la UB és el Microsoft. No feu servir l’opció “Enviar correu com a” del client Gmail per enviar correu amb el vostre compte corporatiu.

Per a llegir els molts correus que arriben, sabem que alguns usuaris prefereixen fer servir el client Gmail per gestionar el correu corporatiu @ub.edu.

La UB va optar per Microsoft Office 365, com a plataforma institucional des de fa anys, i també és la plataforma de correu electrònic.

Des del PAU us ajudarem a trobar una aplicació s’adapti al cada un, però l’ús de regles de reenviament de correus amb gmail és un risc de possibles atacs i demanem que les retireu.

Malgrat que a la nostra comunitat hi ha altres preferències, i estem més familiaritzats amb algunes aplicacions com les de Google, us demanem no fer servir l’opció: “Enviar correu com a” fa servir el protocol SMTP  amb autenticació bàsica.

• Microsoft  ja va desactivar, el passat 1 d’octubre, l’autenticació bàsica per a diferents protocols, entre ells IMAP.  De moment, però no ha desactivat el protocol SMTP, per evitar que deixessin de funcionar dispositius multifunció com impressores i escàners que no poden fer servir l’autenticació moderna.  Aquesta és la raó per la qual  encara  es pot fer servir l’opció “Enviar com a” des del client Gmail. 

Tot i no haver-hi una data anunciada, Microsoft en algun moment desactivarà també aquest protocol i, a partir d’aquell moment no us funcionarà l’enviament de correus des del client Gmail. 

• Una segona raó per la qual no recomanem aquesta opció és l’activació del doble factor d’autenticació a la Universitat, que ara està en fase pilot, però que s’anirà implementant de manera progressiva sobre tots els comptes corporatius personals.  

El doble factor és un mecanisme de seguretat de la nostra identitat. Mitjançant l’ús d’un segon dispositiu, s’afegeix una capa addicional de seguretat a l’hora de verificar la nostra identitat quan accedim a aplicacions i serveis. 

Quan el doble factor sigui obligatori pel vostre col·lectiu o unitat, automàticament es deshabilitarà l’autenticació bàsica de SMTP i l’opció “Enviar correu com a “ deixarà de funcionar.

En enviar un correu,  llavors des de Gmail, us sortirà el següent error i el missatge no s’entregarà: 

• El compte corporatiu personal s’ha de fer servir per activitats relacionades amb la gestió, aprenentatge, docència i recerca de la Universitat de Barcelona. Aquest compte, de caràcter professional, està vinculat a una persona física i com a tal implica la utilització de dades personals. Per aquesta raó, la UB ha de tenir signat un contracte amb el proveïdor del servei, que aquest cas és Microsoft. Aquest contracte ha de contenir prou garanties pel compliment de la normativa relativa a la protecció de dades personals, incloent-hi les clàusules tipus de la Unió Europea. 

L’opció “Enviar correu com a” fa servir el protocol SMTP  amb autenticació bàsica. 

 – Exemple d’un compte configurat d’aquesta manera –

L’Àrea TIC de la UB no té signat cap contracte amb Google com a proveïdor del servei de correu electrònic. Per tant, la utilització de l’eina Gmail per a gestionar el compte de correu corporatiu de la UB no compleix amb la legalitat.

El Email Spoofing són un conjunt de tècniques fraudulentes que fan servir el correu electrònic per enviar missatges simulant la identitat d’una persona coneguda per obtenir un guany.

El receptor del missatge veu un correu enviat per una persona que coneix, quan, qui l’ha enviat realment és una altra persona i, com ens podem imaginar, els correus (perquè normalment hi ha un intercanvi de correus) tindran com a objectiu aconseguir un benefici, generalment de caràcter econòmic o d’obtenció d’informació rellevant o sensible.

En un cas de spoofing, hi ha tres actors: la persona que vol fer el frau, la persona a la que se li suplanta la identitat  i la/es persona/es que reben el correu i que coneixen a la persona suplantada, aquestes seran les víctimes, en cas que el frau acabi exitosament.

En aquests últims dies hem conegut uns quants casos que han afectat a usuaris de la Universitat, n’expliquem un a mode d’exemple: imaginem una professora de la UB, l’anomenarem Marina Fonts Roure, amb adreça marina.fonts@ub.edu, la Marina Fonts fa classes en un màster de Biologia, té alumnes en diferents parts del món amb els quals intercanvia correus de manera habitual.

Un dia, uns quants alumnes reben un correu de la Marina on els demana ajuda urgent:

Dos alumnes responen ràpidament preocupats. Després d’uns quants correus, la Marina demana una  transferència a un compte determinat. Un dels  alumnes decideix trucar a la Marina que, totalment sorpresa, li diu que ella no ha enviat cap correu.

Com podem estar alertes al spoofing?

• La majoria d’aquests enganys fan servir adreces de correu semblants a la de persona suplantada, inclús fan servir el mateix nom d’aquesta. En el nostre cas, la falsa Marina ha enviat el correu des de l’adreça ma.fonts.rou@gmail.com, i com a nom s’ha posat el de la professora: Marina Fonts Roure.
• El contingut del missatge indica urgència, fer una acció que no pot esperar…. Si responem a la falsa adreça, el suplantador ja té les possibles víctimes. A través de les respostes que li donem al correu de la falsa Marina, rebrem  nous missatges per donar més credibilitat a la demanda.
• L’intercanvi de missatges acabarà amb la petició final: fer un pagament, facilitar informació sensible…

I què podem fer si detectem un cas de spoofing:

• Contactar amb totes les persones implicades en el spoofing: la persona suplantada i les persones que han contestat als correus.
• Denunciar el cas a la policia  facilitant la màxima informació, no esborreu doncs els correus.
• Denunciar al proveïdor del domini de correu el fals compte de correu. En  tractar-se d’una adreça externa a la Universitat, consulteu les pàgines informatives de cada proveïdor, com aquesta de Gmail.
• Obrir un tiquet al PAU: des de l’Àrea de Tecnologies procedirem a bloquejar el fals compte i a revisar, si és necessari, el tràfic de correu d’aquest, contactarem amb la persona suplantada i informarem a les autoritats, tant internes com externes.

Amb l’ús massiu del correu electrònic rebem molt correu no desitjat.

Per aquest motiu la regulació del correu es fa cada cop més exigent i i encara que el teu correu no sigui correu brossa, pot arribar a parar a la bústia de correu brossa perquè té algun indici que el fa sospitós.

Tots els serveis de correu (Hotmail, Gmail, Microsoft…) tenen filtres per bloquejar certs correus i protegir-nos de correus maliciosos o no desitjats com suplantació d’identitat, estafes, spam…

El problema és que aquests filtres poden ser massa restrictius i, de vegades, correus legítims els trobem a la carpeta de correu brossa.

No hi ha criteris únics per determinar quan un correu acaba a la carpeta de correu brossa, a més dels filtres i regles establertes per l’antivirus, també s’executen les del proveïdor de serveis, les de la xarxa i d’altres. Però també hi ha procediments que tu mateix pots fer indicar que aquell correu és legítim.

Si el filtre de correu no desitjat de l’Outlook classifica incorrectament missatges legítims, els pots reclassificar ràpidament, seguint algun dels procediments que t’indiquem a continuació:

• Etiquetar el missatge o missatges de la carpeta de correu brossa com correu legítim.
• Afegir l’adreça com a contacte.
• Afegir un filtre o una regla per aquesta adreça.
• Afegir l’adreça com a remitent segur.

Consulta aquesta guia d’ajuda si vols saber com aplicar-los.

Tot i aquests procediments, et recomanem que revisis periòdicament la teva carpeta de correu brossa.

Si tens qualsevol dubte o consulta, contacta amb el PAU.

Si un compte @ub.edu és detectat com correu que fa spammer (generador de correu brossa o spam ) a partir d’ara serà marcat i bloquejat per evitar que continuï enviant correu.

Una vegada bloquejat, en intentar enviar un correu, el propietari del compte rebrà un correu informatiu avisant-lo què està passant. Continuarà rebent correus però no en podrà enviar.

–Exemple del missatge informatiu–

Perquè el meu compte s’ha marcat com spammer?

Una de les conseqüències de patir un robatori de les nostres credencials, és fer-les servir per enviar spam o correu brossa a altres comptes.

Entre les conseqüències negatives que això pot generar destaquem el descrèdit per a la persona propietària de l’adreça emissora robada (el contingut del correu que envia pot ser de tipus sexual, publicitari, de phishing …), la possibilitat que l’emissor sigui afegit a una llista negra (els seus correus sempre anirien al correu brossa dels receptors) i en general un increment del volum de missatgeria nociva que impacta negativament sobre el servei de correu i compromet la seguretat de les dades.

També existeix la possibilitat de ser detectats com a spammers si fem un enviament massiu de correus en poc espai de temps.

I què cal fer si rebo aquest correu informatiu?

El compte no es desbloquejarà fins que l’usuari no es canviï la contrasenya (consulteu  la pàgina d’ajuda per saber com fer-ho). Una vegada fet el canvi, caldrà esperar aproximadament 1 hora per poder tornar a enviar missatges amb normalitat.

Recordeu que mai heu de facilitar les vostres credencials per correu o per telèfon per evitar el seu robatori. No feu servir la mateixa contrasenya que teniu a la Universitat per accedir a altres serveis externs a aquesta.

Per qualsevol dubte podeu contactar amb el PAU.