Datos de LinkedIn recopilados mediante scraping y falsificados (2023)

Las categorías de datos incluidas en la lista son direcciones de correo electrónico, nombres, géneros, ubicaciones geográficas, cargos, competencias profesionales y perfiles en redes sociales. Los nombres, empleadores, cargos, competencias y enlaces a perfiles son, en su mayoría, datos auténticos recopilados de perfiles públicos mediante scraping, mientras que una proporción considerable de las direcciones de correo electrónico se generó mediante algoritmos que combinaban el nombre de una persona con el dominio de su empleador. Por tanto, no debe darse por hecho que todas las direcciones de la lista existen o pueden recibir correo. Las contraseñas, los mensajes privados, los números de teléfono y los datos internos de las cuentas de LinkedIn sujetos a controles de acceso no figuran entre las categorías confirmadas para este incidente. La cifra de 19 788 753 que aparece en esta página representa cadenas de texto únicas correspondientes a direcciones de correo electrónico, no el número de cuentas auténticas de LinkedIn ni de buzones comprometidos.

La primera afirmación se publicó el 4 de noviembre de 2023 bajo el nombre “Base de datos de LinkedIn 2023” y hacía referencia a unos 2,5 millones de registros de perfiles. El 7 de noviembre, el mismo actor publicó un paquete más grande que, según afirmaba, contenía 35 millones de líneas. Un análisis detallado encontró identificadores auténticos de perfiles de LinkedIn y campos profesionales públicos junto con direcciones de correo electrónico creadas al aplicar el mismo patrón de nombres a dominios de empresas sin relación con esas personas. El catálogo definitivo de referencia contiene 19 788 753 identificadores únicos de correo electrónico y está marcado como una lista de spam debido a su composición mixta. El registro no es completamente ficticio: contiene direcciones reales que pasaron por un proceso de doble confirmación de suscripción y casi un millón de direcciones ya observadas en otros conjuntos de datos. Estos hallazgos no demuestran que los sistemas de LinkedIn fueran hackeados en 2023, que se accediera a una base de datos de contraseñas ni que se extrajeran datos privados de sus miembros.

Las personas con mayor riesgo son aquellas cuyos perfiles públicos de LinkedIn indican su empleador, cargo, ubicación o competencias y cuyo patrón de correo electrónico corporativo es fácil de predecir. Incluso cuando una dirección generada no existe, la asociación entre un nombre real, una empresa y un puesto puede facilitar el phishing dirigido y la ingeniería social. Las personas cuya dirección auténtica aparece en la lista pueden recibir mensajes falsos de contratación, propuestas de colaboración, solicitudes de facturas, notificaciones de archivos compartidos o alertas de inicio de sesión. Si el dominio de una empresa acepta correo mediante una configuración catch-all, las direcciones generadas mediante algoritmos pueden recibir mensajes aunque nunca se hayan asignado a un empleado concreto, lo que permite que entren mensajes no deseados en el sistema corporativo. Aparecer en la lista no demuestra que se haya accedido a la cuenta de LinkedIn de una persona, que se haya robado su contraseña ni que su buzón se haya visto comprometido.

Su primer paso es comprobar si la dirección de correo electrónico que coincide con el registro realmente le pertenece y puede recibir mensajes. Es posible que se haya generado únicamente a partir de su nombre y del dominio de un empleador actual o anterior; si el buzón nunca existió, no interprete la coincidencia como un indicio de que una cuenta se ha visto comprometida. Si la dirección es real, preste atención a los mensajes inesperados de contratación, archivos compartidos, restablecimiento de contraseñas e inicio de sesión en sistemas corporativos. Active la autenticación multifactor en sus cuentas de correo electrónico y LinkedIn y, después, revise las sesiones activas y las opciones de recuperación. Este conjunto de datos no contiene contraseñas, por lo que no es necesario cambiar todas sus contraseñas únicamente por esta coincidencia; sustituir las contraseñas débiles o reutilizadas por otras únicas sigue siendo una buena práctica de seguridad. Los equipos de seguridad corporativa deben vigilar el correo enviado a direcciones inexistentes pero predecibles, el funcionamiento de las configuraciones catch-all y los dominios que imitan a la organización.

Busque un equilibrio entre la información profesional necesaria para describir su trabajo y el riesgo de que ciertos detalles faciliten la suplantación de identidad. No incluya direcciones de correo electrónico personales, números de teléfono ni direcciones postales completas en el texto de su perfil público, y revise periódicamente la visibilidad de sus datos de contacto y la configuración que determina cómo se puede encontrar su perfil. Las organizaciones deben evitar publicar innecesariamente los patrones de las direcciones de correo electrónico de sus empleados, implementar políticas SPF, DKIM y DMARC y vigilar los registros de dominios similares a los suyos. Enseñe a los empleados que un mensaje con un nombre y un cargo correctos no demuestra que el remitente sea legítimo. Las condiciones de LinkedIn prohíben el uso de herramientas automatizadas para recopilar mediante scraping o copiar perfiles y datos del servicio; que una información sea visible al público no autoriza automáticamente su redistribución masiva. Las alertas continuas de filtraciones y la vigilancia de dominios ayudan a detectar cuándo aparecen direcciones auténticas o generadas en listas posteriores.

Para determinar si aparece en este registro, consulte por separado sus direcciones de correo electrónico corporativas actuales y anteriores mediante un servicio fiable de búsqueda de datos expuestos. Si encuentra una coincidencia, compruebe si la dirección llegó a crearse, cuándo se utilizó y si la relación con el empleador que aparece en el resultado es correcta. El resultado puede significar que se recopiló información de un perfil público o que se dedujo una dirección a partir de su nombre; no significa que su cuenta de LinkedIn o su buzón se hayan visto comprometidos. Incluso cuando una dirección coincidente nunca existió, la presencia de su nombre real, empresa o trayectoria profesional en un archivo masivo implica que no debe ignorar por completo el riesgo de fraude dirigido. Comunique el hallazgo al equipo de seguridad sin redistribuir información personal y conserve muestras de los mensajes sospechosos junto con los datos de sus encabezados. No consulte la dirección de otra persona sin su permiso; utilice los resultados únicamente para proteger sus propias cuentas o los dominios de la organización que esté autorizado a administrar.