Dados do LinkedIn coletados por raspagem (2021)

Os campos de dados verificados no registro de dados do LinkedIn coletados por raspagem são nível de escolaridade, endereço de e-mail, gênero, localização geográfica, cargo, nomes e links de perfis em redes sociais. Senhas, hashes de senhas, cartões de pagamento, mensagens privadas, tokens de sessão, perguntas de segurança e números de documentos oficiais de identificação não estão entre os campos verificados nesse registro. Ainda assim, o risco não deve ser subestimado: as informações de perfis profissionais fornecem indícios importantes sobre o local de trabalho, a área de responsabilidade, a rede de contatos e a possível autoridade para tomar decisões de um usuário. A circulação de informações sobre cargo e localização junto com o endereço de e-mail pode tornar mensagens de phishing direcionado muito mais convincentes. Pessoas que atuam em recrutamento, suprimentos, finanças, recursos humanos e gestão podem ser alvos específicos. Já os links de perfis em redes sociais permitem relacionar as contas de uma mesma pessoa em diferentes plataformas e criar um perfil mais abrangente.

O incidente de dados do LinkedIn coletados por raspagem se refere à coleta de dados de perfis disponíveis publicamente, uma distinção feita pelo próprio LinkedIn em suas declarações. Não há evidências verificadas de exposição de dados privados de membros, informações de senhas ou conteúdo de contas fechadas. Ainda assim, o incidente é relevante do ponto de vista da segurança, pois campos públicos de um perfil podem parecer inofensivos isoladamente, mas, quando reunidos em um grande conjunto de dados, podem se transformar em listas de alvos de alto valor. A contagem de 125.698.496 e-mails únicos indica a abrangência das contas que poderiam apresentar correspondência em uma consulta. A expressão aproximadamente 400 milhões de linhas se refere ao volume maior de registros, que pode incluir várias entradas da mesma pessoa, campos de perfil duplicados ou combinações de diferentes fontes de dados. Portanto, este incidente não deve ser confundido com o vazamento de senhas do LinkedIn de 2012 nem com o conjunto de dados falso e misturado do LinkedIn que circulou em 2023. Embora estejam relacionados ao mesmo domínio, a data, o tipo de dado e o modelo de risco são diferentes.

O maior risco está entre os usuários que mantêm informações detalhadas em seu perfil do LinkedIn, como cargo, nome da empresa, cidade, formação acadêmica e links de redes sociais. Funcionários, gestores, especialistas de recursos humanos, equipes financeiras, representantes de vendas, responsáveis por compras e responsáveis técnicos cadastrados com um endereço de e-mail corporativo são mais vulneráveis a mensagens direcionadas. Os invasores podem usar esses dados para criar mensagens que pareçam oportunidades reais de emprego, solicitações de fornecedores, compartilhamentos de documentos, convites para reuniões ou comunicados internos. Se o mesmo endereço de e-mail aparecer em diferentes redes sociais, é possível estabelecer uma ligação entre a vida privada e a identidade profissional de uma pessoa. Para usuários que procuram emprego, destacam-se as falsas mensagens de recrutamento; para gestores, as falsas correspondências de assistentes ou fornecedores; para equipes técnicas, os falsos pedidos de acesso. Nesse caso, mesmo que a senha não tenha sido verificada, o contexto do perfil ajuda o invasor a personalizar a mensagem para cada pessoa.

Os usuários cujos dados correspondam aos do registro de dados do LinkedIn coletados por raspagem devem primeiro verificar a segurança da conta de e-mail. A senha não é um campo verificado neste incidente; porém, se ela apareceu em outros vazamentos junto com o mesmo endereço de e-mail, os riscos podem se somar. A conta de e-mail deve usar uma senha forte e exclusiva, a autenticação de dois fatores deve ser ativada e as sessões desconhecidas devem ser encerradas. É importante revisar o e-mail, o telefone, a localização, a formação, a função interna na empresa e os links de outros perfis sociais que estejam visíveis publicamente no perfil do LinkedIn. Usuários corporativos devem ter cuidado com mensagens falsas de reuniões, propostas, faturas, recrutamento ou compartilhamento de documentos que usem o contexto do cargo e da empresa. Arquivos e páginas de login enviados por contatos desconhecidos não devem ser abertos sem verificação. Se o mesmo endereço de e-mail for usado em contas profissionais e pessoais, essas contas devem ser separadas, dando preferência a configurações de segurança distintas para cada conta crítica.

No longo prazo, os perfis em redes sociais profissionais devem ser vistos não apenas como uma ferramenta de visibilidade, mas também como uma superfície de ataque. Detalhes pessoais desnecessários devem ser reduzidos ao mínimo nas áreas públicas do perfil; cidade, ano de formação, locais de trabalho anteriores, listas de conexões e links de outros perfis sociais só devem ser exibidos quando necessário. As organizações devem reforçar os treinamentos de conscientização sobre segurança com cenários reais, reconhecendo que os cargos dos funcionários disponíveis publicamente aumentam o risco de phishing direcionado. A autenticação de dois fatores, um gerenciador de senhas e o uso de senhas exclusivas devem ser considerados padrões básicos. Os endereços de e-mail devem ser separados por finalidade; trabalho, redes sociais e uso pessoal não devem ficar concentrados no mesmo endereço. A circulação de dados de perfis na internet é difícil de reverter; por isso, limitar as áreas visíveis desde o início é a estratégia mais eficaz para reduzir riscos posteriores.

Uma correspondência no registro de dados do LinkedIn coletados por raspagem não significa que sua senha do LinkedIn foi roubada; significa que seu endereço de e-mail e alguns campos do seu perfil estão incluídos em um grande conjunto de dados em massa. A primeira medida deve ser verificar as configurações de segurança da sua conta de e-mail e da sua conta do LinkedIn. Em seguida, você deve reduzir a visibilidade do perfil, remover conexões desnecessárias em redes sociais e ter mais cautela com mensagens inesperadas que usem seu cargo como contexto. Quem usa contas corporativas pode informar essa correspondência à equipe de segurança, pois o phishing direcionado muitas vezes começa com um único funcionário e depois avança em direção aos sistemas da empresa. Mesmo quando não há correspondência, o incidente de dados do LinkedIn coletados por raspagem mostra que dados públicos de perfis podem ser reunidos em grandes conjuntos. A abordagem mais adequada é reduzir as informações visíveis do perfil, proteger as contas com senhas distintas e criar o hábito de verificar regularmente mensagens que exploram sua identidade profissional.