Recentemente sono stati scoperti milioni di dati provenienti da LinkedIn pubblicati nel dark web relativi alle informazioni di oltre 500 milioni di profili di professionisti. Se da una parte risulta chiaro quali dati siano stati trafugati, con quali modalità e come fare una prima verifica per controllare se si è stati coinvolti nel furto di dati, dall’altra è meno chiaro il periodo a cui risale la violazione, se sia nuova o già dichiarata. Ecco cosa sappiamo sull’argomento.
LinkedIn data breach 2021: cos’è successo
Nei primi giorni di aprile è stato scoperto nel dark web dai ricercatori di Cyber News un enorme archivio di dati in vendita presumibilmente trafugati da 500 milioni di profili LinkedIn; con altri 2 milioni di record esibiti come campione di prova di autenticità dall’autore del post che ne ha dato l’annuncio su un popolare forum di hacking.
Si ipotizza che le informazioni siano state raccolte con la tecnica del web scraping, ovvero la pratica di collezionare informazioni pubbliche in maniera automatica da siti e piattaforme. Sebbene questa attività non sia illegale, LinkedIn la vieta attraverso i propri termini di servizio e dispone di sistemi per individuare le operazioni di web scraping, tuttavia in taluni casi un attaccante con risorse opportune potrebbe essere in grado di eludere tali controlli.
Quali dati sono stati trafugati e venduti?
Poiché raccolte attraverso la tecnica del web scraping, le informazioni ora presenti sul dark web sono quindi dati pubblicati dagli utenti stessi e condivisi almeno con i propri contatti; nessun “segreto” violato ma comunque sono state diffuse informazioni destinate a una visione delimitata dall’utente attraverso la gestione del profilo.
Tra le informazioni rubate ci sarebbero:
- username
- nominativi completi
- indirizzi email
- numeri di telefono
- sesso
- collegamenti ad altri profili LinkedIn
- collegamenti a profili di altri social media
- titoli professionali
- altre informazioni relative alle proprie attività che generalmente gli utenti caricano sul proprio profilo su LinkedIn.
Non sembrano esserci state violazioni per quello che riguarda:
- dati di carte di credito
- altre informazioni per altri strumenti di pagamento.
Come capire se si è stati coinvolti nel furto di dati di LinkedIn
Dato che il numero dei profili coinvolti si avvicina alla quasi totalità degli utenti di LinkedIn, è lecito supporre che buona parte dei 21 milioni di utenti italiani sia coinvolto da questa maxi violazione. Per capire se anche il tuo profilo è stato coinvolto in questo caso di data breach puoi eseguire un controllo attraverso il “Personal Data Leak Checker seguendo le istruzioni che trovi di seguito.
- Clicca qui per essere reindirizzato al Personal Data Leak Checker
- Inserisci l’indirizzo email con cui sei iscritto su LinkedIn all’interno della piattaforma
- Premi su “Check Now”
Gli aspetti non ancora chiari sulla vicenda
Quello che allo stato attuale non è ancora chiaro, è se gli archivi di LinkedIn che sono stati messi all’asta online siano aggiornati oppure se si tratti di dati relativi a precedenti violazioni subìte in passato dal noto social media professionale.
Alle richieste di chiarimento inviate dagli esperti di Cyber News al momento LinkedIn non ha fornito risposta e non ha comunicato di aver subito alcuna violazione nonostante questo, l’Autorità Garante Italiana abbia aperto una istruttoria sull’accaduto.
Il nostro consiglio
Anche se non sembrano esserci state violazioni relative alla raccolta delle credenziali di accesso al profilo il consiglio è, in via cautelativa, di cambiare comunque la password del proprio profilo LinkedIn. Oltre a ciò, è bene prestare attenzione a possibili anomalie sui contatti inseriti nel profilo stesso (cellulare o email) per difendersi da possibili attacchi di SIM swapping che potrebbero arrivare da malintenzionati o da email di spear phishing che potrebbero arrivare anche da mittenti conosciuti come colleghi o contatti professionali.
Ultimo ma non meno importante è ricordarsi che le piattaforme social, usate sia a livello personale che professionale, sono sempre più spesso soggette ad attacchi volti a recuperare informazioni sui loro iscritti. Questo non vuol dire che bisogna abbandonare questi strumenti ma che è necessario tenerne conto nel momento di valutare i rischi informatici aziendali, di redigere il relativo piano di sicurezza.
Non sai come individuare correttamente i rischi informatici a cui può essere soggetta la tua azienda? Contattaci per una consulenza!
