Nie tak dawno temu Internet obiegła informacja, że LinkedIn został ofiarą wycieku danych, a informacje o 700 milionach użytkowników tego portalu zostały wystawione na sprzedaż w Dark Necie. LinkedIn zaprzecza jednak, jakoby miało dojść do naruszenia bezpieczeństwa. O co więc chodzi?
Internetowe CV
LinkedIn to platforma społecznościowa dla profesjonalistów. W profilach użytkowników znajduje się ich wykształcenie, historia zatrudnienia, posiadane certyfikaty i inne informacje, które mogą pomóc w znalezieniu pracy lub partnerów biznesowych. Użytkownicy zachęcani są do networkingu i dzielenia się swoimi spostrzeżeniami przez posty i komentarze. Profile są publiczne, natomiast użytkownicy są ograniczeni do wyświetlania informacji o osobach, z którymi mają połączenie pierwszego, drugiego lub trzeciego stopnia. Bez logowania, portal pozwoli nam na podejrzenie jednej lub dwóch osób.
Publiczne dane na sprzedaż
Na początku lipca niektóre portale zaczęły raportować o domniemanym wycieku danych z portalu LinkedIn. Miał on dotyczyć 700 milionów użytkowników, czyli około 92% osób zarejestrowanych na platformie. Dane pojawiły się na sprzedaż w Dark Necie, zarówno w całości jak i w podgrupach. Jedną z nich byli użytkownicy zamieszkali w Stanach Zjednoczonych, którzy w ciągu ostatniego miesiąca zmieniły miejsce pracy.
Wystawione dane zawierały informacje takie jak imiona i nazwiska, adresy email, numery telefonów, doświadczenie zawodowe i historia zatrudnienia, geolokacja i inne. Nie ma wśród nich haseł. LinkedIn potwierdził, że tak naprawdę nie doszło do żadnego naruszenia bezpieczeństwa ani wycieku danych. Skąd więc tyle informacji na sprzedaż? Wszystko wskazuje na to, że przez scraping.
Scraping czyli…
Web scraping to, zazwyczaj automatyczne, gromadzenie dużych ilości danych z witryn internetowych, za pomocą odpowiednich narzędzi. Umożliwiają one masowe ściąganie informacji. Jeżeli chcesz dowiedzieć się więcej na temat programów, które mogą do tego służyć, zajrzyj tutaj. Według LinkedIn to właśnie w taki sposób zgromadzono wystawione na sprzedaż informacje.
Co prawda wykorzystanie narzędzi scrapingowych jest niezgodne z regulaminem portalu, ale udostępnia on swoje API które udostępnia dane innym stronom internetowym. LinkedIn blokuje użytkowników, w których przeglądarkach wykryje pewne rozszerzenia służące do gromadzenia danych, ale już inne strony niekoniecznie. API prawdopodobnie nie posiadało limitu na zapytania użytkownika, co pozwoliło na zebranie danych. Wszystko odbyło się więc legalnie. Część informacji podobno pochodzi również z innych źródeł, na przykład takie dotyczące adresów czy wysokości płac.
Jakie jest niebezpieczeństwo?
Z jednej strony wszystkie sprzedawane informacje są publiczne i dobrowolnie udostępniane przez użytkowników. Mimo to, w niewłaściwych rękach mogą stanowić zagrożenie. Szczegółowe informacje narażają na niebezpieczeństwo związane z kradzieżą tożsamości czy scammingiem. Eksperci wskazują, że szczególnie wrażliwą grupą mogą tu być osoby, które w niedawnym czasie zmieniły miejsce pracy. Oszuści mogą wykorzystać tą informację do podszywania się pod nowych “współpracowników”. W połączeniu z prawdziwymi danymi o zatrudnieniu taka wiadomość może wydawać się prawdziwa, zwłaszcza teraz, kiedy wiele firm nadal pracuje w trybie zdalnym.
LinkedIn zapewnia, że chce chronić użytkowników i ich dane oraz ograniczyć nadużycie API służącego do scrapingu. Mimo to, to nie pierwsza taka wpadka tego portalu w tym roku. Już w kwietniu na sprzedaż wystawione zostały dane prawie 500 milionów użytkowników.
Źródła:
https://ia.acs.org.au/article/2021/the-linkedin-data-breach-that-wasn-t.html
