Datos extraídos de LinkedIn (2021)

Los campos de datos verificados en el registro de datos extraídos de LinkedIn son el nivel educativo, la dirección de correo electrónico, el género, la ubicación geográfica, el cargo, la información sobre el nombre y los enlaces a perfiles en redes sociales. Entre los campos verificados de este registro no figuran contraseñas, hashes de contraseñas, tarjetas de pago, mensajes privados, tokens de sesión, preguntas de seguridad ni números de documentos oficiales de identidad. Sin embargo, no debe subestimarse el riesgo: la información de los perfiles profesionales ofrece pistas importantes sobre el lugar de trabajo, el ámbito de responsabilidad, la red de contactos y la posible autoridad para tomar decisiones de un usuario. La circulación de información sobre el cargo y la ubicación junto con la dirección de correo electrónico puede hacer que los mensajes de phishing dirigidos resulten mucho más convincentes. Las personas que trabajan en selección de personal, suministros, finanzas, recursos humanos y dirección pueden ser objetivos específicos. Los enlaces a perfiles en redes sociales, por su parte, permiten vincular las cuentas de una misma persona en distintas plataformas y crear un perfil más amplio.

El incidente de datos extraídos de LinkedIn se refiere a la recopilación de datos de perfiles disponibles públicamente, una distinción que la propia LinkedIn hace en sus declaraciones; no incluye pruebas verificadas de que se hayan expuesto datos privados de miembros, información de contraseñas o contenido de cuentas cerradas. El incidente sigue siendo relevante desde el punto de vista de la seguridad, porque, aunque los campos públicos de un perfil puedan parecer inofensivos por separado, al combinarse en un gran conjunto de datos pueden convertirse en listas de objetivos de alto valor. El recuento de 125 698 496 direcciones de correo electrónico únicas indica el alcance de las cuentas para las que podría encontrarse una coincidencia al realizar una consulta. La cifra de aproximadamente 400 millones de filas se refiere al volumen más amplio de registros, que puede incluir varias entradas de una misma persona, campos de perfiles duplicados o combinaciones de distintas fuentes de datos. Por tanto, este incidente no debe confundirse con la filtración de contraseñas de LinkedIn de 2012 ni con el conjunto de datos falso de LinkedIn que mezclaba información y circuló en 2023. Aunque corresponden al mismo dominio, la fecha, el tipo de datos y el modelo de riesgo son diferentes.

El mayor riesgo afecta a los usuarios que mantienen información detallada en su perfil de LinkedIn, como el cargo, el nombre de la empresa, la ciudad, la formación académica y los enlaces a redes sociales. Los empleados, directivos, especialistas en recursos humanos, equipos de finanzas, representantes de ventas, responsables de compras y responsables técnicos registrados con una dirección de correo electrónico corporativa son más vulnerables a los mensajes dirigidos. Los atacantes pueden utilizar estos datos para elaborar mensajes que parezcan oportunidades laborales reales, solicitudes de proveedores, documentos compartidos, invitaciones a reuniones o anuncios internos. Si la misma dirección de correo electrónico aparece en distintas redes sociales, se puede establecer un vínculo entre la vida privada de una persona y su identidad profesional. Para quienes buscan empleo, destacan los mensajes falsos de selección de personal; para los directivos, la correspondencia falsa de asistentes o proveedores; para los equipos técnicos, las solicitudes de acceso falsas. En este caso, aunque la contraseña no figure entre los datos verificados, el contexto del perfil ayuda al atacante a personalizar el mensaje para cada persona.

Los usuarios cuyos datos coincidan con el registro de datos extraídos de LinkedIn deben comprobar primero la seguridad de su cuenta de correo electrónico. La contraseña no es un campo verificado en este incidente; sin embargo, si apareció en otras filtraciones junto con la misma dirección de correo electrónico, los riesgos pueden combinarse. Se debe utilizar una contraseña segura y única para la cuenta de correo electrónico, activar la autenticación de dos factores y cerrar las sesiones desconocidas. También se deben revisar el correo electrónico, el teléfono, la ubicación, la formación, el puesto dentro de la empresa y los enlaces a otros perfiles sociales que sean visibles públicamente en el perfil de LinkedIn. Los usuarios corporativos deben estar atentos a los mensajes falsos sobre reuniones, ofertas, facturas, selección de personal o documentos compartidos que incluyan referencias a su cargo y empresa. No se deben abrir archivos ni páginas de inicio de sesión enviados por contactos desconocidos sin comprobarlos antes. Si se utiliza la misma dirección de correo electrónico para cuentas de trabajo y personales, estas cuentas deben separarse y conviene optar por configuraciones de seguridad específicas para las cuentas críticas.

A largo plazo, los perfiles en redes sociales profesionales deben considerarse no solo una herramienta de visibilidad, sino también una superficie de ataque. Se deben reducir al mínimo los detalles personales innecesarios en las secciones del perfil accesibles públicamente; la ciudad, el año de formación, los lugares de trabajo anteriores, las listas de contactos y los enlaces a otros perfiles sociales solo deben mostrarse cuando sea necesario. Las organizaciones deben reforzar la formación de concienciación en seguridad con situaciones reales, teniendo en cuenta que la disponibilidad pública de los cargos de sus empleados aumenta el riesgo de phishing dirigido. La autenticación de dos factores, un gestor de contraseñas y el uso de contraseñas únicas deben considerarse medidas básicas. Se deben utilizar direcciones de correo electrónico distintas para cada finalidad; el trabajo, las redes sociales y el uso personal no deben compartir una misma dirección. La circulación de datos de perfiles en internet es una situación difícil de revertir; por tanto, limitar la información visible desde el principio es la estrategia más eficaz para reducir los riesgos posteriores.

Una coincidencia en un registro de datos extraídos de LinkedIn no significa que se haya robado su contraseña de LinkedIn; significa que su dirección de correo electrónico y algunos campos de su perfil están incluidos en un gran conjunto de datos. Su primera medida debe ser comprobar la configuración de seguridad de su cuenta de correo electrónico y de su cuenta de LinkedIn. Después, debe reducir la visibilidad de su perfil, eliminar las conexiones innecesarias con redes sociales y extremar la cautela ante mensajes inesperados que hagan referencia a su cargo. Quienes utilicen cuentas corporativas pueden informar de esta coincidencia al equipo de seguridad, ya que el phishing dirigido suele comenzar con un solo empleado y luego avanzar hacia los sistemas de la empresa. Incluso si no hay ninguna coincidencia, el incidente de datos extraídos de LinkedIn demuestra que los datos de perfiles públicos pueden combinarse en grandes conjuntos. La estrategia más adecuada es reducir la información visible del perfil, proteger las cuentas con contraseñas distintas y adquirir el hábito de revisar regularmente los mensajes que se aprovechan de la identidad profesional.