Données LinkedIn collectées par extraction automatisée et fabriquées (2023)

Les catégories de données répertoriées sont les adresses e-mail, les noms, les genres, les localisations géographiques, les intitulés de poste, les compétences professionnelles et les profils sur les réseaux sociaux. Les noms, employeurs, intitulés de poste, compétences et liens vers les profils sont en grande partie des données authentiques extraites de profils publics, tandis qu’une proportion importante des adresses e-mail a été générée par un algorithme combinant le nom d’une personne avec le domaine de son employeur. Il ne faut donc pas supposer que toutes les adresses répertoriées existent ou peuvent recevoir des messages. Les mots de passe, les messages privés, les numéros de téléphone et les données internes des comptes LinkedIn soumises à un contrôle d’accès ne font pas partie des catégories de données dont la présence a été confirmée pour cet incident. Le chiffre de 19 788 753 indiqué sur cette page correspond à des chaînes de caractères uniques représentant des adresses e-mail, et non au nombre de comptes LinkedIn réels ou de boîtes mail compromises.

La première annonce est apparue le 4 novembre 2023 sous le nom « Base de données LinkedIn 2023 » et faisait état d’environ 2,5 millions de fiches de profil. Le 7 novembre, le même acteur a publié un ensemble plus volumineux, censé contenir 35 millions de lignes. Une analyse détaillée a révélé la présence d’identifiants de profils LinkedIn authentiques et de champs publics relatifs à l’activité professionnelle, aux côtés d’adresses e-mail créées en utilisant le même format d’adresse fondé sur le nom avec des domaines d’entreprises sans lien avec les personnes concernées. Le catalogue de référence définitif contient 19 788 753 identifiants uniques de type adresse e-mail et est signalé comme une liste de spam en raison de sa composition mixte. Cet ensemble n’est pas entièrement fabriqué : il contient de véritables adresses pour lesquelles une procédure de double confirmation d’inscription a été menée à son terme, ainsi que près d’un million d’adresses déjà observées dans d’autres jeux de données. Ces constats ne permettent pas d’établir que les systèmes de LinkedIn ont été piratés en 2023, qu’une base de données de mots de passe a été consultée ou que des données privées de membres ont été extraites.

Les personnes les plus exposées sont celles dont le profil LinkedIn public indique un employeur, un intitulé de poste, une localisation ou des compétences, et dont le format d’adresse e-mail professionnelle est facile à prévoir. Même lorsqu’une adresse générée n’existe pas, l’association d’un nom réel, d’une entreprise et d’une fonction peut faciliter l’hameçonnage ciblé et l’ingénierie sociale. Les personnes dont l’adresse réelle figure dans la liste peuvent recevoir de faux messages de recrutement, des propositions de partenariat, des demandes de factures, des notifications de partage de fichiers ou des alertes de connexion. Si le domaine d’une entreprise accepte les messages grâce à une configuration de type catch-all, les adresses générées par un algorithme peuvent recevoir des messages même si elles n’ont jamais été attribuées à un salarié en particulier, ce qui fait entrer des messages indésirables dans le système de l’entreprise. La présence dans cette liste ne prouve pas que le compte LinkedIn d’une personne a été consulté, que son mot de passe a été volé ou que sa boîte mail a été compromise.

Votre première démarche consiste à vérifier si l’adresse e-mail trouvée vous appartient réellement et peut recevoir des messages. Elle peut avoir été générée uniquement à partir de votre nom et du domaine d’un employeur actuel ou ancien; si la boîte mail n’a jamais existé, n’interprétez pas ce résultat comme une compromission de compte. Si l’adresse est réelle, soyez vigilant face aux messages inattendus de recrutement, de partage de fichiers, de réinitialisation de mot de passe ou de connexion à un compte professionnel. Activez l’authentification multifacteur sur vos comptes de messagerie et LinkedIn, puis examinez les sessions actives et les options de récupération. Ce jeu de données ne contient pas de mots de passe : il n’est donc pas nécessaire de changer tous vos mots de passe uniquement en raison de ce résultat. Remplacer les mots de passe faibles ou réutilisés par des mots de passe uniques reste toutefois une bonne pratique de sécurité. Les équipes de sécurité des entreprises doivent surveiller les messages envoyés à des adresses inexistantes mais prévisibles, le fonctionnement des configurations catch-all et les domaines qui imitent ceux de l’organisation.

Trouvez un équilibre entre les informations professionnelles nécessaires pour décrire votre travail et les détails susceptibles de faciliter une usurpation d’identité. N’insérez pas d’adresses e-mail personnelles, de numéros de téléphone ou d’adresses postales complètes dans le texte de votre profil public, et vérifiez régulièrement les paramètres de visibilité de vos coordonnées et ceux qui permettent de trouver votre profil. Les organisations doivent éviter de publier inutilement les formats d’adresse e-mail de leurs salariés, mettre en place des politiques SPF, DKIM et DMARC et surveiller l’enregistrement de domaines ressemblant aux leurs. Sensibilisez les salariés au fait qu’un message contenant un nom et un intitulé de poste exacts ne prouve pas la légitimité de son expéditeur. Les conditions de LinkedIn interdisent l’utilisation d’outils automatisés pour extraire ou copier les profils et les données du service; le fait qu’une information soit accessible au public n’autorise pas automatiquement sa redistribution en masse. Les alertes continues sur les fuites de données et la surveillance des domaines aident à repérer l’apparition d’adresses réelles ou générées dans des listes ultérieures.

Pour déterminer si vous figurez dans cet ensemble de données, recherchez séparément vos adresses e-mail professionnelles actuelles et anciennes au moyen d’un service fiable de recherche de données exposées. Si une adresse est trouvée, vérifiez si elle a réellement été créée, à quelle période elle a été utilisée et si le lien avec l’employeur indiqué dans le résultat est exact. Ce résultat peut signifier que des informations de profil public ont été collectées ou qu’une adresse a été déduite de votre nom; il ne signifie pas que votre compte LinkedIn ou votre boîte mail a subi une intrusion. Même si l’adresse trouvée n’a jamais existé, la présence de votre nom réel, de votre entreprise ou de votre parcours professionnel dans un fichier regroupant un grand volume de données implique que le risque de fraude ciblée ne doit pas être totalement écarté. Signalez ce constat à l’équipe de sécurité sans redistribuer d’informations personnelles et conservez des exemples de messages suspects avec leurs données d’en-tête. Ne recherchez pas l’adresse d’une autre personne sans son autorisation; utilisez les résultats uniquement pour protéger vos propres comptes ou les domaines d’organisations que vous êtes autorisé à administrer.