بيانات LinkedIn المستخرجة آليًا (2021)

حقول البيانات التي جرى التحقق منها في سجل بيانات LinkedIn المستخرجة آليًا هي المستوى التعليمي، وعنوان البريد الإلكتروني، والجنس، والموقع الجغرافي، والمسمى الوظيفي، وبيانات الاسم، وروابط الملفات الشخصية على وسائل التواصل الاجتماعي. ولا تشمل الحقول التي جرى التحقق منها في هذا السجل كلمات المرور، أو قيم تجزئة كلمات المرور، أو بطاقات الدفع، أو الرسائل الخاصة، أو رموز الجلسات، أو أسئلة الأمان، أو أرقام الهوية الرسمية. ومع ذلك، ينبغي عدم التقليل من المخاطر؛ فمعلومات الملف المهني تقدم مؤشرات قوية على مكان عمل المستخدم ونطاق مسؤولياته وشبكة علاقاته وصلاحياته المحتملة في اتخاذ القرارات. وقد يجعل تداول المسمى الوظيفي ومعلومات الموقع إلى جانب عنوان البريد الإلكتروني رسائل التصيد الموجّه أكثر إقناعًا بكثير. ويمكن استهداف العاملين في التوظيف والتوريد والمالية والموارد البشرية والإدارة على وجه الخصوص. أما روابط الملفات الشخصية على وسائل التواصل الاجتماعي، فتتيح أساسًا لربط حسابات الشخص نفسه على منصات مختلفة وتكوين صورة أشمل عنه.

تتعلق واقعة بيانات LinkedIn المستخرجة آليًا بجمع بيانات الملفات الشخصية المتاحة للعامة، وهو تمييز تؤكد عليه LinkedIn نفسها في بياناتها؛ ولا تتضمن الواقعة أدلة جرى التحقق منها على انكشاف بيانات خاصة بالأعضاء، أو معلومات كلمات المرور، أو محتوى من حسابات مغلقة. ومع ذلك، تظل الواقعة مهمة من منظور أمني، لأن حقول الملفات الشخصية العامة قد تبدو غير ضارة كلٌّ على حدة، لكنها قد تتحول عند تجميعها في مجموعة بيانات كبيرة إلى قوائم لأهداف عالية القيمة. ويشير عدد عناوين البريد الإلكتروني الفريدة، البالغ 125,698,496، إلى نطاق الحسابات التي قد تظهر مطابقة لها عند الاستعلام. أما عبارة «نحو 400 مليون صف» فتشير إلى الحجم الأكبر للسجلات، الذي قد يشمل عدة إدخالات للشخص نفسه، أو حقول ملفات شخصية مكررة، أو بيانات مدمجة من مصادر مختلفة. لذلك، ينبغي عدم الخلط بين واقعة بيانات LinkedIn المستخرجة آليًا وخرق كلمات مرور LinkedIn في 2012، أو مجموعة بيانات LinkedIn المزيفة والمختلطة التي جرى تداولها في 2023. فعلى الرغم من ارتباطها بالنطاق نفسه، فإن التاريخ ونوع البيانات ونموذج المخاطر تختلف بينها.

تكون المخاطر أعلى لدى المستخدمين الذين يحتفظون بمعلومات تفصيلية في ملفاتهم الشخصية على LinkedIn، مثل المسمى الوظيفي واسم الشركة والمدينة والخلفية التعليمية وروابط وسائل التواصل الاجتماعي. ويكون الموظفون والمديرون ومتخصصو الموارد البشرية وفرق المالية ومندوبو المبيعات ومسؤولو المشتريات والمسؤولون التقنيون المسجلون بعناوين بريد إلكتروني تابعة لشركات أكثر عرضة للرسائل الموجّهة. ويمكن للمهاجمين استخدام هذه البيانات لإنشاء رسائل تبدو كأنها فرص عمل حقيقية، أو طلبات من مورّدين، أو رسائل لمشاركة مستندات، أو دعوات لاجتماعات، أو إعلانات داخلية. وإذا ظهر عنوان البريد الإلكتروني نفسه على شبكات اجتماعية مختلفة، فقد يصبح من الممكن الربط بين حياة الشخص الخاصة وهويته المهنية. وتبرز رسائل التوظيف المزيفة بين المخاطر التي تواجه الباحثين عن عمل، بينما يواجه المديرون مراسلات مزيفة من مساعدين أو مورّدين، وتواجه الفرق التقنية سيناريوهات مزيفة لطلبات الوصول. وفي هذه الحالة، حتى إن لم تكن كلمة المرور ضمن البيانات التي جرى التحقق منها، فإن سياق الملف الشخصي يساعد المهاجم على تخصيص رسالته للفرد المستهدف.

ينبغي للمستخدمين الذين تظهر مطابقة لبياناتهم في سجل بيانات LinkedIn المستخرجة آليًا أن يتحققوا أولًا من أمان حساب بريدهم الإلكتروني. فكلمة المرور ليست من الحقول التي جرى التحقق منها في هذه الواقعة؛ لكن إذا ظهرت في خروقات أخرى مرتبطة بعنوان البريد الإلكتروني نفسه، فقد تتضافر المخاطر. وينبغي استخدام كلمة مرور قوية وفريدة لحساب البريد الإلكتروني، وتفعيل المصادقة الثنائية، وإنهاء الجلسات غير المعروفة. كما ينبغي مراجعة البريد الإلكتروني ورقم الهاتف والموقع والتعليم والدور داخل الشركة وروابط الملفات الشخصية الأخرى الظاهرة للعامة على ملف LinkedIn. وعلى مستخدمي حسابات الشركات الحذر من الرسائل المزيفة المتعلقة بالاجتماعات أو العروض أو الفواتير أو التوظيف أو مشاركة المستندات، والتي تستند إلى سياق المسمى الوظيفي والشركة. ويجب عدم فتح الملفات وصفحات تسجيل الدخول الواردة من جهات اتصال غير معروفة دون التحقق منها. وإذا كان عنوان البريد الإلكتروني نفسه يُستخدم لحسابات العمل والحسابات الشخصية، فينبغي فصل هذه الحسابات واعتماد إعدادات أمان مستقلة للحسابات المهمة.

على المدى الطويل، ينبغي النظر إلى الملفات الشخصية على الشبكات الاجتماعية المهنية ليس بوصفها وسيلة لتعزيز الظهور فحسب، بل أيضًا بوصفها سطحًا محتملًا للهجوم. وينبغي تقليل التفاصيل الشخصية غير الضرورية في الأجزاء المتاحة للعامة من الملف الشخصي، وعدم إظهار المدينة وسنة التعليم وأماكن العمل السابقة وقوائم جهات الاتصال وروابط الملفات الشخصية الأخرى إلا عند الضرورة. وعلى المؤسسات تعزيز التدريب على الوعي الأمني بسيناريوهات واقعية، مع إدراك أن إتاحة المسميات الوظيفية للموظفين للعامة تزيد من خطر التصيد الموجّه. وينبغي اعتبار المصادقة الثنائية واستخدام مدير لكلمات المرور وكلمات مرور فريدة من المعايير الأساسية. كما ينبغي تخصيص عناوين بريد إلكتروني منفصلة للأغراض المختلفة، وعدم الجمع بين العمل والشبكات الاجتماعية والاستخدام الشخصي تحت عنوان واحد. ومن الصعب التراجع عن انتشار بيانات الملفات الشخصية على الإنترنت؛ لذلك، فإن الحد من المعلومات الظاهرة منذ البداية هو الاستراتيجية الأكثر فاعلية لتقليل المخاطر اللاحقة.

لا تعني مطابقة بياناتك في سجل بيانات LinkedIn المستخرجة آليًا أن كلمة مرور LinkedIn الخاصة بك قد سُرقت؛ بل تعني أن عنوان بريدك الإلكتروني وبعض حقول ملفك الشخصي مدرجة في مجموعة بيانات ضخمة. وينبغي أن تكون الخطوة الأولى هي التحقق من إعدادات الأمان في حساب بريدك الإلكتروني وحساب LinkedIn. ثم ينبغي تقليل ظهور الملف الشخصي، وإزالة الروابط غير الضرورية بوسائل التواصل الاجتماعي، وتوخي مزيد من الحذر تجاه الرسائل غير المتوقعة التي تستند إلى المسميات الوظيفية. ويمكن لمن يستخدمون حسابات الشركات إبلاغ فريق الأمن بهذه المطابقة، لأن التصيد الموجّه غالبًا ما يبدأ بموظف واحد ثم ينتقل إلى أنظمة الشركة. وحتى في حال عدم وجود مطابقة، تُظهر واقعة بيانات LinkedIn المستخرجة آليًا أن بيانات الملفات الشخصية العامة يمكن دمجها في مجموعات كبيرة. والنهج الأنسب هو تقليل معلومات الملف الشخصي الظاهرة، وحماية الحسابات بكلمات مرور منفصلة، واعتياد التحقق بانتظام من الرسائل التي تستغل الهوية المهنية.