Dados do LinkedIn coletados por raspagem e fabricados (2023)

As categorias de dados listadas são endereços de e-mail, nomes, gêneros, localizações geográficas, cargos, habilidades profissionais e perfis em redes sociais. Nomes, empregadores, cargos, habilidades e links de perfis são, em grande parte, dados reais extraídos por raspagem de perfis públicos, enquanto uma proporção substancial dos endereços de e-mail foi gerada por algoritmos que combinavam o nome de uma pessoa com o domínio de um empregador. Portanto, não se deve presumir que todos os endereços listados existam ou recebam mensagens. Senhas, mensagens privadas, números de telefone e dados internos de contas do LinkedIn protegidos por controles de acesso não estão entre as categorias confirmadas neste incidente. O número 19.788.753 nesta página representa sequências de texto únicas usadas como endereços de e-mail, não a quantidade de contas reais do LinkedIn ou de caixas de e-mail comprometidas.

A primeira alegação surgiu em 4 de novembro de 2023, sob o nome “Banco de dados do LinkedIn 2023”, e se referia a aproximadamente 2,5 milhões de registros de perfis. Em 7 de novembro, o mesmo responsável publicou um pacote maior que, segundo ele, continha 35 milhões de linhas. Uma análise detalhada encontrou identificadores reais de perfis do LinkedIn e campos profissionais públicos junto a endereços de e-mail criados pela aplicação do mesmo padrão de nome a domínios de empresas sem relação com a pessoa. O catálogo canônico final contém 19.788.753 identificadores únicos de e-mail e está marcado como uma lista de spam devido à sua composição mista. O registro não é inteiramente fabricado: contém endereços reais que concluíram o processo de double opt-in e quase um milhão de endereços já observados em outros conjuntos de dados. Essas constatações não demonstram que os sistemas do LinkedIn tenham sido invadidos em 2023, que um banco de dados de senhas tenha sido acessado ou que dados privados de membros tenham sido extraídos.

As pessoas mais expostas ao risco são aquelas cujos perfis públicos no LinkedIn identificam um empregador, cargo, localização ou habilidades e cujos endereços de e-mail corporativos seguem um padrão fácil de prever. Mesmo quando um endereço gerado não existe, a associação entre um nome real, uma empresa e uma função pode facilitar phishing direcionado e engenharia social. Pessoas cujo endereço real aparece na lista podem receber mensagens falsas de recrutamento, propostas de parceria, solicitações de pagamento de faturas, notificações de compartilhamento de arquivos ou alertas de login. Se o domínio de uma empresa aceita mensagens por meio de uma configuração catch-all, os endereços gerados por algoritmos podem receber mensagens mesmo que nunca tenham sido atribuídos a um funcionário específico, levando mensagens indesejadas ao sistema corporativo. Aparecer na lista não prova que a conta de uma pessoa no LinkedIn tenha sido acessada, que sua senha tenha sido roubada ou que sua caixa de e-mail tenha sido comprometida.

Seu primeiro passo é verificar se o endereço de e-mail encontrado realmente pertence a você e pode receber mensagens. Ele pode ter sido gerado apenas a partir do seu nome e do domínio de um empregador atual ou anterior; se a caixa de e-mail nunca existiu, não interprete a correspondência como um comprometimento de conta. Se o endereço for real, fique atento a mensagens inesperadas de recrutamento, compartilhamento de arquivos, redefinição de senha e login corporativo. Ative a autenticação multifator nas contas de e-mail e do LinkedIn e, em seguida, revise as sessões ativas e as opções de recuperação. Este conjunto de dados não contém senhas, portanto não é necessário alterar todas as senhas apenas porque seu endereço foi encontrado; substituir senhas fracas ou reutilizadas por senhas únicas continua sendo uma boa prática de segurança. As equipes de segurança corporativa devem monitorar mensagens enviadas a endereços inexistentes, mas previsíveis, o comportamento da configuração catch-all e domínios que imitam a organização.

Ao decidir o que publicar, equilibre as informações profissionais necessárias para descrever seu trabalho com os detalhes que facilitam que alguém se passe por você. Não inclua endereços de e-mail pessoais, números de telefone ou endereços físicos completos no texto público do perfil, e revise regularmente as configurações de visibilidade de contato e de descoberta do perfil. As organizações devem evitar divulgar desnecessariamente os padrões dos endereços de e-mail dos funcionários, implementar políticas de SPF, DKIM e DMARC e monitorar o registro de domínios semelhantes aos seus. Ensine aos funcionários que uma mensagem com nome e cargo corretos não é prova de que o remetente seja legítimo. Os termos do LinkedIn proíbem o uso de ferramentas automatizadas para extrair por raspagem ou copiar perfis e dados do serviço; o fato de uma informação estar visível ao público não significa que sua redistribuição em massa esteja automaticamente autorizada. Alertas contínuos de vazamento e monitoramento de domínios ajudam a identificar quando endereços reais ou gerados aparecem em listas posteriores.

Para saber se você aparece neste registro, consulte separadamente seus endereços de e-mail corporativos atuais e antigos em um serviço confiável de busca de exposição de dados. Se houver uma correspondência, verifique se o endereço chegou a ser criado, quando foi usado e se o vínculo com o empregador indicado no resultado está correto. O resultado pode significar que informações públicas do perfil foram coletadas ou que um endereço foi deduzido a partir do seu nome; não significa que sua conta do LinkedIn ou sua caixa de e-mail tenha sido comprometida. Mesmo quando um endereço encontrado nunca existiu, a presença do seu nome real, da sua empresa ou do seu histórico profissional em um arquivo com dados em massa significa que o risco de fraude direcionada não deve ser completamente ignorado. Comunique a descoberta à equipe de segurança sem redistribuir informações pessoais e guarde amostras de mensagens suspeitas com os dados de seus cabeçalhos. Não consulte o endereço de outra pessoa sem permissão; use os resultados apenas para proteger suas próprias contas ou os domínios de organizações que você tem autorização para administrar.