¿Son seguros los archivos adjuntos en los correos electrónicos para transferir documentos financieros?

Question

¿Qué tipo de riesgos implica compartir estados financieros, declaraciones de impuestos, talones de cheques y cosas así por correo electrónico?

Imagino que si una institución financiera recibe documentos a través de un servidor de carga de archivos seguro y este es hackeado, podrían rastrear los pasos para ver qué acceso se concedió y qué acciones se llevaron a cabo con registros de auditoría y cosas por el estilo. El correo electrónico, supongo, no cuenta con tales protecciones.

Imagino que los correos electrónicos hackeados deben ser manejados caso por caso y no dejarían mucho rastro de acciones para seguir lo que un hacker hizo al interceptar un correo electrónico. En tal evento, con el correo electrónico, se inclinaría más hacia una violación individual en la que la culpabilidad y la responsabilidad recaen más en el propietario del correo electrónico que en toda una empresa en caso de una violación más extensa a nivel del sistema.

¿Es recomendable usar el correo electrónico y archivos adjuntos para intercambiar documentos con profesionales financieros como corredores de préstamos, agentes inmobiliarios, planificadores financieros, profesionales de impuestos, etc.?

Answer 1

Generalmente, los correos electrónicos se transfieren abiertamente a través de Internet, similar a enviar una postal. Cualquiera que tenga acceso a cualquier enlace del servidor que lo transporte puede leerlos cuando quiera.

La única defensa es la gran cantidad: nadie puede leer miles de millones de correos electrónicos todos los días. Pero es una capa delgada de "seguridad" para tus datos: tu decisión.

Answer 2

Si tiene alguna preocupación, cifre el archivo primero. Luego transmita la clave de cifrado por separado, preferiblemente a través de otro medio.

Para más detalles, visite https://security.stackexchange.com/ Los protocolos de red y las herramientas de cifrado están fuera del alcance aquí.

Recuerde también que transferir información es diferente a transferir documentos legales. En particular, una imagen de un cheque no es un cheque legal, sin importar lo que diga un estafador. Cualquier documento que requiera una firma probablemente tendrá que ser transferido físicamente. (Las firmas electrónicas tienen sus usos, pero no son intercambiables con firmas físicas, y registrar una correctamente no es simplemente escanear una imagen de una firma.)

Answer 3

Existe un riesgo conocido de que su proveedor de correo electrónico y su proveedor de correo electrónico puedan leer el correo electrónico.

Existe un riesgo menos conocido de que alguien más pueda interceptar el correo electrónico entre su proveedor y el de ellos, o entre su proveedor y su red, o el proveedor de ellos y su red. Aunque los correos electrónicos casi siempre se transfieren a través de conexiones cifradas en estos días, no hay forma de que usted realmente lo sepa con seguridad. Pero este riesgo es principalmente teórico ahora, porque todos los grandes proveedores de correo electrónico insisten en utilizar solo conexiones cifradas.

¿Es relevante el riesgo para una persona normal? Realmente no.

Answer 4

La mayoría de servidores y servicios de correo electrónico transmitirán datos, es decir, tus mensajes de correo electrónico, a través de una conexión cifrada (TLS). Esto estaría utilizando los mismos protocolos que HTTPS. Sin embargo, esto solo protege los datos mientras pasan por Internet y los protege de ataques de tipo hombre en el medio.

Dicho esto, un porcentaje muy alto también volverá a conexiones de texto plano si TLS no es compatible con un servidor receptor.

Como otros mencionaron, cualquier servidor individual (MTA) tendrá acceso al mensaje, al igual que una postal. A menos que estés cifrando el cuerpo del mensaje en sí (S/MIME, PGP, etc.) Pero, los encabezados (Para, De, a veces el Asunto, etc.) aún se pueden leer. Como el exterior de un sobre enviado por correo.

Nunca enviaría ese tipo de información por correo electrónico. La mayoría de las corporaciones tienen un método fácil para intercambiar correos electrónicos seguros, o mensajes a través de un portal en línea seguro de algún tipo.

Answer 5

Como señalan muchos otros, la mayoría de las conexiones entre servidores están cifradas, pero los propios servidores pueden leer los mensajes. De hecho, los servidores DEBEN leer los mensajes para obtener los encabezados. Los encabezados y el contenido se envían juntos, por lo que si un sistema en particular puede leer los encabezados, también puede leer el contenido, que incluye los archivos adjuntos.

Los archivos adjuntos se envían codificados mediante algún método como base64. Esto hace posible enviar archivos binarios pero no proporciona seguridad real. Una persona que vea un correo electrónico en bruto con un archivo adjunto verá un galimatías, pero cualquier programa de correo electrónico lo verá como un archivo adjunto.

Pero el mayor problema es que aunque los mecanismos de transporte de correo (por ejemplo, SMTP) solo miran los encabezados, hay muchos sistemas modernos que requieren acceso a los archivos adjuntos y examinan tanto el contenido de texto/html como los archivos adjuntos. Algunos son buenos, por ejemplo, filtrar spam y virus. Otros son molestos, leen los mensajes para ofrecer publicidad dirigida. Y algunos pueden ser simplemente malvados, leen mensajes de correo electrónico y archivos adjuntos para recopilar información confidencial.

Lo que significa que a menos que utilices un cifrado separado, eso significa cifrar todo el contenido del correo electrónico o cifrar archivos adjuntos y mantener cualquier información crítica fuera del texto del correo electrónico, o utilizar un sistema seguro (https) para mensajes en línea a una empresa específica (eso significa un sistema alojado por/para esa empresa - no un simple sistema de correo web que te permite enviar a cualquier persona) - no deberías:

• Enviar información crítica - por ejemplo, contraseñas y otros credenciales, números de tarjetas de crédito u otros detalles bancarios - en el texto del correo electrónico.
• Enviar información crítica en un archivo adjunto, ya sea texto sin formato o una imagen escaneada.
• Enviar información crítica por fax a menos que envíes por teléfono (en lugar de por correo electrónico a fax) y estés 100% seguro de que el destinatario recibe por teléfono (en lugar de fax a correo electrónico).

Este último es un poco gracioso - muchas oficinas médicas y algunas otras empresas insisten en enviar información sensible por fax porque "el correo electrónico no es lo suficientemente seguro". Tienen razón acerca del correo electrónico, pero ignoran el hecho de que muchas personas que aún tienen un número de fax reciben las llamadas a través de un servicio de fax a correo electrónico.