Données extraites de LinkedIn (2021)

Les champs de données vérifiés pour la fiche « Données extraites de LinkedIn » sont le niveau d’études, l’adresse e-mail, le genre, la localisation géographique, l’intitulé du poste, les informations relatives au nom et les liens vers des profils sur les réseaux sociaux. Les mots de passe, les empreintes de mots de passe, les cartes de paiement, les messages privés, les jetons de session, les questions de sécurité et les numéros de pièces d’identité officielles ne font pas partie des champs vérifiés pour cette fiche. Le risque ne doit toutefois pas être sous-estimé : les informations d’un profil professionnel fournissent des indices importants sur le lieu de travail, le périmètre de responsabilité, le réseau et l’éventuel pouvoir de décision d’un utilisateur. La circulation de l’intitulé du poste et de la localisation, associés à l’adresse e-mail, peut rendre les messages d’hameçonnage ciblé beaucoup plus convaincants. Les personnes qui occupent des fonctions dans le recrutement, l’approvisionnement, la finance, les ressources humaines et la direction peuvent être spécifiquement visées. Les liens vers les profils sur les réseaux sociaux permettent, quant à eux, de relier les comptes d’une même personne sur différentes plateformes et d’établir un profil plus complet.

L’incident « Données extraites de LinkedIn » concerne la collecte de données de profil accessibles au public, une distinction que LinkedIn fait lui-même dans ses déclarations. Il ne comporte aucune preuve vérifiée de l’exposition de données privées de membres, d’informations sur les mots de passe ou de contenus provenant de comptes fermés. Cet incident reste important du point de vue de la sécurité : pris isolément, les champs publics d’un profil peuvent sembler anodins, mais leur regroupement dans un vaste jeu de données peut produire des listes de cibles de grande valeur. Le total de 125 698 496 adresses e-mail uniques indique l’étendue des comptes susceptibles de présenter une correspondance lors d’une recherche. Le chiffre d’environ 400 millions de lignes désigne le volume plus large d’enregistrements, qui peut inclure plusieurs entrées pour une même personne, des champs de profil en double ou des combinaisons de différentes sources de données. Cet incident ne doit donc pas être confondu avec la fuite de mots de passe LinkedIn de 2012, ni avec le jeu de données LinkedIn falsifié et composé de données mélangées qui a circulé en 2023. Bien qu’ils concernent le même domaine, leur date, leur type de données et leur modèle de risque sont différents.

Le risque est le plus élevé pour les utilisateurs dont le profil LinkedIn contient des informations détaillées, comme l’intitulé du poste, le nom de l’entreprise, la ville, le parcours de formation et des liens vers les réseaux sociaux. Les salariés, les cadres, les spécialistes des ressources humaines, les équipes financières, les commerciaux, les responsables des achats et les responsables techniques inscrits avec une adresse e-mail professionnelle sont davantage exposés aux messages ciblés. Les attaquants peuvent utiliser ces données pour créer des messages qui semblent être de véritables offres d’emploi, demandes de fournisseurs, partages de documents, invitations à des réunions ou annonces internes. Si la même adresse e-mail apparaît sur différents réseaux sociaux, il est possible de relier la vie privée d’une personne à son identité professionnelle. Pour les utilisateurs en recherche d’emploi, les faux messages de recrutement constituent un risque notable; pour les cadres, il peut s’agir de faux échanges avec un assistant ou un fournisseur; pour les équipes techniques, de fausses demandes d’accès. Dans ce contexte, même si la présence d’un mot de passe n’a pas été confirmée, les informations du profil aident l’attaquant à personnaliser son message en fonction de la personne visée.

Si vos données correspondent à une entrée de la fiche « Données extraites de LinkedIn », vérifiez d’abord la sécurité de votre compte de messagerie. Le mot de passe ne fait pas partie des champs vérifiés dans cet incident; toutefois, s’il est apparu dans d’autres fuites avec la même adresse e-mail, les risques peuvent se cumuler. Utilisez un mot de passe robuste et unique pour votre compte de messagerie, activez l’authentification à deux facteurs et mettez fin aux sessions inconnues. Passez en revue les informations publiquement visibles sur votre profil LinkedIn : adresse e-mail, numéro de téléphone, localisation, formation, fonction au sein de l’entreprise et liens vers d’autres profils sur les réseaux sociaux. Si vous utilisez LinkedIn dans un cadre professionnel, méfiez-vous des faux messages concernant des réunions, des offres, des factures, des recrutements ou des partages de documents qui s’appuient sur votre poste et votre entreprise. N’ouvrez pas les fichiers ni les pages de connexion provenant de contacts inconnus sans les vérifier. Si vous utilisez la même adresse e-mail pour vos comptes professionnels et personnels, séparez ces comptes et privilégiez des paramètres de sécurité propres à chaque compte critique.

À long terme, les profils sur les réseaux sociaux professionnels doivent être considérés non seulement comme un outil de visibilité, mais aussi comme une surface d’attaque. Limitez les détails personnels inutiles dans les parties du profil accessibles au public; la ville, les années de formation, les anciens lieux de travail, les listes de contacts et les liens vers d’autres profils sur les réseaux sociaux ne devraient être affichés que lorsque cela est nécessaire. Les organisations devraient renforcer leurs formations de sensibilisation à la sécurité avec des scénarios réels, en tenant compte du fait que les intitulés de poste publiquement accessibles de leurs salariés augmentent le risque d’hameçonnage ciblé. L’authentification à deux facteurs, un gestionnaire de mots de passe et l’utilisation de mots de passe uniques devraient être considérés comme des mesures de base. Utilisez des adresses e-mail distinctes selon les usages : activités professionnelles, réseaux sociaux et usage personnel ne devraient pas être regroupés sous une même adresse. Il est difficile de revenir en arrière une fois que les données de profil circulent sur Internet; limiter dès le départ les informations visibles constitue donc la stratégie la plus efficace pour réduire les risques ultérieurs.

Une correspondance dans une fiche « Données extraites de LinkedIn » ne signifie pas que votre mot de passe LinkedIn a été volé; elle signifie que votre adresse e-mail et certains champs de votre profil figurent dans un vaste jeu de données. Votre première démarche devrait être de vérifier les paramètres de sécurité de votre compte de messagerie et de votre compte LinkedIn. Réduisez ensuite la visibilité de votre profil, supprimez les liens inutiles avec vos autres profils sur les réseaux sociaux et redoublez de prudence face aux messages inattendus qui s’appuient sur votre intitulé de poste. Si vous utilisez un compte professionnel, vous pouvez signaler cette correspondance à votre équipe de sécurité, car l’hameçonnage ciblé commence souvent par un seul salarié avant de progresser vers les systèmes de l’entreprise. Même en l’absence de correspondance, cet incident montre que des données de profil publiques peuvent être regroupées dans de vastes ensembles. L’approche la plus appropriée consiste à réduire les informations visibles sur votre profil, à protéger vos comptes avec des mots de passe distincts et à prendre l’habitude de vérifier régulièrement les messages qui exploitent votre identité professionnelle.