Um excesso de perfis falsos do LinkedIn coloca o RH contra bots – Krebs in Security

Divulgação recente de perfis executivos falsos em LinkedIn Isso cria uma espécie de crise de identidade para o site da rede de negócios e as empresas que dependem dele para recrutar e selecionar funcionários em potencial. Identidades falsas do LinkedIn – que vinculam imagens de perfil geradas por inteligência artificial a textos de contas legítimas – criam grandes problemas para os departamentos de RH da empresa e para aqueles que gerenciam grupos do LinkedIn apenas para convidados.

Na semana passada, KrebsOnSecurity verificou Uma torrente de perfis não originais do LinkedIn Todos estão exigindo funções de Chief Information Security (CISO) em várias empresas da Fortune 500, incluindo BiogenE a divisaE a ExxonMobilE as Hewlett-Packard.

Desde então, a resposta dos usuários e leitores do LinkedIn deixou claro que esses perfis falsos aparecem coletivamente para quase todas as funções executivas – mas especialmente para empregos e setores adjacentes a eventos mundiais recentes e tendências de notícias.

Hamish Taylor execute o Especialistas em sustentabilidade Um grupo no LinkedIn, que tem mais de 300.000 membros. Juntamente com o co-proprietário do grupo, Taylor disse que proibiu Mais de 12.700 perfis falsos suspeitos até agora este anoincluindo dezenas de romances recentes que Taylor descreveu como “tentativas satíricas de manipular especialistas humanitários e de alívio de crises”.

“Recebemos mais de 500 solicitações de perfis falsos semanalmente”, disse Taylor. “O inferno está batendo desde janeiro deste ano. Antes disso, não recebíamos os enxames de falsificações que vemos agora.”

O slide de abertura do apelo do Taylor Group ao LinkedIn.

Taylor postou recentemente um post no LinkedIn intitulado “Crise de identidade falsa no LinkedIn, que zombou dos “60 especialistas em alívio de crises menos procurados” – perfis falsos que afirmavam ser especialistas em esforços de recuperação de desastres após os recentes furacões. As imagens acima e abaixo mostram apenas um enxame de perfis que o grupo identificou como não originais. Quase todos esses perfis foram removidos do LinkedIn depois que KrebsOnSecurity twittou sobre eles na semana passada.

Outro “enxame” de contas de bots do LinkedIn identificadas pelo grupo de Taylor.

Mark Miller é o dono grupo DevOps No LinkedIn, ele diz que lida diariamente com perfis falsos – muitas vezes centenas por dia. O que Taylor chamou de “enxames” de contas falsas, Miller descreveu como “ondas” de solicitações de contas falsas.

“Quando o robô tenta se infiltrar no grupo, ele o faz em ondas”, disse Miller. “Veremos de 20 a 30 solicitações que vêm com o mesmo tipo de informação nos perfis.”

Depois de filmar ondas de solicitações de perfis falsos, Miller começou a enviar fotos para as equipes de abuso do LinkedIn, que lhe disseram que analisariam sua solicitação, mas talvez não fossem notificados de qualquer ação tomada.

Alguns dos perfis de bots identificados por Mark Miller estavam buscando acesso ao seu grupo DevOps no LinkedIn. Todos esses perfis estão listados na ordem em que apareceram, disse Miller.

Miller disse que, depois de meses apresentando uma reclamação e compartilhando informações de perfil falso com o LinkedIn, a rede de mídia social parecia estar fazendo algo que fez com que o volume de solicitações de associação a grupos de contas falsas caísse drasticamente.

“Escrevi para nosso representante do LinkedIn e disse que estávamos pensando em fechar o grupo porque os bots eram muito ruins”, disse Miller. “Eu disse: ‘Você deve fazer algo no back-end para evitar isso. “

Jason Lathrop Ele é o vice-presidente de Tecnologia e Operações da ISOterceirização, uma empresa de consultoria sediada em Seattle com aproximadamente 100 funcionários. Assim como Miller, a experiência de Lathrop combatendo perfis de bots no LinkedIn sugere que a gigante das redes sociais acabará respondendo a reclamações sobre contas não genuínas. Ou seja, se os usuários afetados reclamarem alto o suficiente (publicar sobre isso publicamente no LinkedIn parece ajudar).

Cerca de dois meses atrás, disse Lathrop, o empregador notou ondas de novos seguidores e identificou mais de 3.000 seguidores que compartilharam itens diferentes, como fotos de perfil ou descrições de texto.

“Então notei que todos eles estavam alegando estar trabalhando conosco em um título aleatório dentro da organização”, disse Lathrop em entrevista ao Krebs on Security. “Quando reclamamos com o LinkedIn, eles nos disseram que esses perfis não violam as diretrizes da comunidade. Mas não! Essas pessoas não existem e afirmam que trabalham para nós!”

Lathrop disse que após a terceira reclamação de sua empresa, um representante do LinkedIn respondeu pedindo à ISOutsource que enviasse uma planilha listando todos os funcionários legítimos da empresa e seus links de perfil correspondentes.

Pouco tempo depois, os perfis falsos que não constavam na lista da empresa foram excluídos do LinkedIn. Lathrop disse que ainda não tinha certeza de como eles lidariam com a entrada de novos funcionários em sua empresa no LinkedIn no futuro.

A razão pela qual o LinkedIn aparece ainda não está clara Inundado com muitos perfis falsos ultimamenteOu como as fotos de perfil falsas são obtidas. Testes aleatórios de fotos de perfil mostram que elas são semelhantes, mas não idênticas, a outras fotos postadas na Internet. Vários leitores apontaram para uma fonte em potencial – thispersondoesnotexist.com, o que torna o uso da IA ​​para criar headshots exclusivos um exercício de apontar e clicar.

empresa de cibersegurança Mandiant (Recentemente adquirido por O Google) Diga a Bloomberg Que hackers que trabalhavam para o governo norte-coreano estavam copiando currículos e perfis das principais plataformas de lista de empregos LinkedIn e, de fato, como parte de um esquema elaborado para conseguir empregos em empresas de criptomoedas.

Perfis falsos também podem estar associados aos chamados Truques de “Abate de Porcos”onde as pessoas são atraídas por estranhos paqueradores online para investir em exchanges de criptomoedas que eventualmente confiscam quaisquer fundos quando as vítimas tentam sacar.

Além disso, ladrões de identidade foram identificados Para se disfarçar no LinkedIn como funcionários para empregose coleta de informações pessoais e financeiras de pessoas que caem em golpes de recrutamento.

Mas Taylor, diretor do grupo de sustentabilidade, disse que os bots que os rastreiam estranhamente não respondem às mensagens e não parecem estar tentando postar conteúdo.

Taylor avaliou: “Eles claramente não estão sendo monitorados”. “Ou eles são apenas criados e depois deixados para apodrecer.”

Essa experiência foi compartilhada pelo gerente do grupo DevOp, Miller, que disse que também tentou atrair perfis falsos com mensagens sugerindo suas falsificações. Miller diz que está preocupado que alguém possa criar uma enorme rede social de bots para algum ataque futuro no qual contas de bot possam ser usadas para amplificar informações erradas online, ou pelo menos distorcer a verdade.

“É como se alguém estivesse construindo uma enorme rede de bots, então, quando há uma grande mensagem que precisa ser divulgada, eles podem postar em massa com todos esses perfis falsos”, disse Miller.

Na matéria da semana passada sobre o assunto, sugeri que o LinkedIn dê um passo simples que torna muito fácil para as pessoas tomarem decisões informadas sobre a confiança em um perfil específico: adicionar uma data de “criação” a cada perfil. O Twitter faz isso e é muito útil para filtrar uma grande quantidade de ruídos e comunicações indesejadas.

Vários de nossos leitores no Twitter disseram que o LinkedIn precisa fornecer aos empregadores mais ferramentas – talvez algum tipo de API – que lhes permita remover rapidamente perfis que alegam falsamente trabalhar em suas organizações.

Outro leitor sugeriu que o LinkedIn também poderia tentar oferecer algo semelhante a uma tag verificada do Twitter para usuários que optassem por verificar se poderiam responder a e-mails no domínio associado ao seu atual empregador anunciado.

Em resposta a perguntas do KrebsOnSecurity, o LinkedIn disse que está considerando a ideia de verificação de domínio.

“Este é um desafio contínuo e estamos trabalhando constantemente para melhorar nossos sistemas para impedir produtos falsificados antes que eles apareçam online”, disse o LinkedIn em um comunicado por escrito. “Paramos a grande maioria das atividades fraudulentas que detectamos em nossa comunidade – cerca de 96% de contas falsas e cerca de 99,1% de spam e golpes. Também estamos explorando novas maneiras de proteger nossos membros, como expandir a verificação de domínio de e-mail. Nossa comunidade gira em torno de pessoas reais conversando, com propósito e sempre para aumentar a legitimidade e a qualidade de nossa sociedade.”

dentro Matéria publicada na quarta-feiraA Bloomberg observa que o LinkedIn até agora evitou amplamente os escândalos em torno de bots que atormentaram redes como Facebook e Twitter. Mas esse brilho está começando a valer a pena, pois mais usuários são forçados a perder mais tempo lutando contra contas não genuínas.

“O que está claro é que o perfil do LinkedIn como uma rede social para profissionais sérios o torna uma plataforma ideal para iludir os membros com uma falsa sensação de segurança”. Tim Kiplan Escreveu. “Exacerbando o risco de segurança está a grande quantidade de dados que o LinkedIn coleta e publica, que sustenta todo o seu modelo de negócios, mas carece de mecanismos de verificação robustos.”