LinkedIn: oportunidades profesionales y riesgos ocultos

San José, 1 de febrero (elmundo.cr) – En noviembre, el Servicio de Seguridad Británico comenzó a alertar a parlamentarios sobre un plan para recopilar inteligencia extranjera: dos perfiles en LinkedIn contactaron a personas que trabajan en la política británica Solicitar “información privilegiada”.. Las revelaciones del MI5 desencadenaron una iniciativa gubernamental de 170 millones de libras (230 millones de dólares) para combatir las amenazas de espionaje contra el Parlamento. Aunque este ha sido un caso de alto perfil desde entonces ESETlíder en detección proactiva de amenazas, asegura que está lejos de ser la primera empresa. El sitio también puede ser un tesoro de datos de la empresa que pueden utilizarse para respaldar campañas de fraude o amenazas.

LinkedIn ha acumulado más de mil millones de “miembros” en todo el mundo desde su fundación en 2003. Esto presenta muchos objetivos potenciales para los actores de amenazas respaldados por el estado o motivados financieramente. En el primer caso, un fuente excepcional de información en el que los actores maliciosos pueden descubrir las funciones y Responsabilidades de las personas clave dentro de una empresa objetivo y restaurar las relaciones entre las personas y los proyectos en los que pueden trabajar. Aparte de eso, garantiza credibilidad y presentación de informes Debido a que es una red profesional, es utilizada tanto por ejecutivos de alto nivel como por empleados de nivel inferior y representa un contexto en el que es más probable que una víctima abra un mensaje directo o InMail de alguien en la plataforma que un correo electrónico no solicitado.

Por otro lado, evita la seguridad «tradicional» Porque No hay garantía de que los mensajes de phishing, malware o spam no lleguen a su destino y, debido a la credibilidad que transmite el sitio, es más probable que los objetivos hagan clic en contenido malicioso. Finalmente, Es fácil empezar a operarCualquiera puede crear un perfil y husmear en el sitio para extraer información o enviar mensajes de phishing y estafas BEC. Además, los atacantes pueden secuestrar cuentas existentes o Cree identidades falsas antes de hacerse pasar por candidatos o reclutadores. La gran cantidad de credenciales comprometidas que circulan en foros de ciberdelincuencia (debido a en parte a Ladrón de información) no hace que esto sea difícil.

ESET enfatiza que existen varias formas en que los actores de amenazas pueden implementar sus campañas maliciosas a través de esta red, por ejemplo:

• Phishing y phishing submarino: Utilizando la información que los usuarios comparten en sus perfiles, los atacantes pueden personalizar campañas de phishing (correos electrónicos falsificados) para aumentar su tasa de éxito.
• Ataques directos: El contacto se puede realizar directamente a través de enlaces maliciosos destinados a implementar malware, como ladrones de información, o promover ofertas de trabajo falsas destinadas a robar credenciales.
• BEC: Al igual que con el phishing, LinkedIn proporciona una gran cantidad de información que se puede utilizar para hacer que los ataques de vulneración del correo electrónico empresarial parezcan más convincentes. Puede ayudar a los estafadores a descubrir quién depende de quién, en qué proyectos están trabajando y los nombres de los socios o proveedores.
• Falsificaciones profundas: LinkedIn también puede alojar vídeos de personas específicas que pueden utilizarse para crear falsificaciones profundas y utilizarlos para posteriores ataques de phishing, BEC o estafas en redes sociales.
• Robo de cuenta: Las páginas falsas de LinkedIn (phishing), los ladrones de información, el relleno de credenciales y otras técnicas pueden ayudar a los atacantes a obtener el control de las cuentas de los usuarios. Estas cuentas secuestradas pueden usarse para ataques posteriores a sus contactos.
• Ataques a proveedores: También se puede buscar en LinkedIn información sobre los socios de una empresa objetivo que pueden ser objeto de phishing como parte de un ataque de «efecto dominó».

«El desafío con las amenazas en LinkedIn es que es difícil para los departamentos de TI obtener información real sobre el nivel de riesgo que enfrentan sus empleados y las tácticas de ataque. Sin embargo, tiene sentido incluir escenarios de amenazas de LinkedIn como los descritos anteriormente en los cursos de concientización sobre seguridad. También debe advertir a los empleados sobre el peligro de compartir demasiada información en la plataforma y brindarles orientación para identificar cuentas falsas y los típicos señuelos de phishing». comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

ESET reporta varios grupos de amenazas que han utilizado algunas de estas tácticas:

• grupo de lázaro (Corea del Norte) se hizo pasar por un reclutador en LinkedIn para instalar malware en las computadoras de los empleados de una empresa aeroespacial, según descubrió ESET Research. De hecho, el equipo de investigación también describió recientemente campañas de “wagemole” en las que personas aliadas de Corea del Norte intentan encontrar empleo en empresas extranjeras.
• Araña dispersa Llamó al servicio de asistencia de MGM haciéndose pasar por un empleado cuya identidad obtuvo en LinkedIn para acceder a la organización. El posterior ataque de ransomware provocó pérdidas de 100 millones de dólares.
• Una campaña de Pesca submarina llamado “Cola de pato” Se dirigieron a profesionales de marketing y recursos humanos en LinkedIn, difundieron malware y robaron información a través de enlaces enviados por DM. El malware estaba alojado en la nube.

«Para evitar el secuestro de cuentas, se deben actualizar periódicamente los parches, instalar software de seguridad en todos los dispositivos (de un proveedor confiable) y habilitar la autenticación multifactor. Además, en un entorno corporativo, puede valer la pena organizar capacitación específica para los gerentes, que tienden a ser blanco de ataques con mayor frecuencia. Sobre todo, asegúrese de que el equipo de trabajo sea consciente de que incluso en una red confiable como LinkedIn, no todos actuarán en su mejor interés». recomienda el investigador de ESET.

Xavier Condega
El mundo CR