Primero fue Facebook con la divulgación de datos personales de 533 millones de usuarios en fotos de hacking en la Dark Web, ahora se da a conocer que también están comercializando información de 500 millones de usuarios de LinkedIn.
La compañía de seguridad informática ESET advirtió sobre esta exposición de datos y alerta sobre una campaña de phishing (conjunto de técnicas que persiguen el engaño a una víctima ganándose su confianza mediante comunicación electrónica) que apunta a profesionales de LinkedIn con falsas ofertas de empleo.
Se detalla que la información se ofrece a través de cuatro archivos e incluye nombres completos, género, dirección de correo, número de teléfono, datos sobre el lugar de trabajo y de la descripción profesional, enlaces a perfiles de LinkedIn, y también a otras redes sociales.
Adicionalmente se está ofreciendo un archivo de muestra a cambio de dos dólares en créditos dentro del foro, la muestra contiene los datos de dos millones de usuarios, pero al parecer para obtener la información completa el precio mínimo supera los mil dólares.
Josep Albors, especialista de ESET, indicó que esta información puede ser utilizada por actores malintencionados para realizar ataques de ingeniería social como son los correos de phishing personalizados que incluyan datos específicos de la potencial víctima para convencerlos de que se trata de algo legítimo y después engañar a los contactos con cuentas clonadas.
En cuanto al señuelo de los falsos empleos, se precisó que el mensaje incluye un archivo ZIP malicioso e intentan convencer a las potenciales víctimas de que lo abran para finalmente descargar en el equipo de la víctima el backdoor more_eggs, creado por Golden Chickens.
Sin embargo el uso de LinkedIn por parte de los criminales para contactar a sus víctimas no es nuevo, ya que existen antecedentes como el del año pasado cuando ESET alertó cómo otros grupos de espionaje lanzaron ataques a compañías militares y aeroespaciales utilizando ingeniería social a través de LinkedIn.
Este tipo de información puede ser de valor para distintos perfiles criminales, algunos más sofisticados, pero sobre todo para estafadores.
El problema con LinkedIn lo dio a conocer originalmente el medio especializado Cybernews, sus expertos analizaron la muestra pero no pueden asegurar si se trata de información actual o si, por el contrario, procede de brechas de seguridad anteriores de la red social profesional o de hackeos de otras empresas.