Cyber-Kriminelle machen sich vermehrt auch das Business-Netzwerk ‚LinkedIn‘ zunutze, um über gefälschte Profile personenbezogene Daten abzugreifen und einer missbräuchlichen Verwendung zuzuführen. Dieses Phänomen hat ‚Trend Micro‘ nun mit einer Untersuchung bestätigt. Nach Ansicht des japanischen Cybersecurity-Anbieters können Nutzer der Plattform das Gefahren-Potenzial jedoch durch adäquate Sicherheits-Strategien minimieren.
„Gefälschte Profile, die nach Daten von unbedarften Usern fischen, werden bei LinkedIn zu einer immer größeren Bedrohung. So zielte beispielsweise die nordkoreanische Advanced Persistent Threat (APT)-Gruppe Lazarus im September 2022 auf macOS-Nutzer, die nach Jobs in der Kryptowährungs-Branche suchten. Die dabei gesammelten Daten verkauften die Angreifer an Cyber-Kriminelle. Zwar hat das soziale Netzwerk daraufhin neue Sicherheits-Funktionen hinzugefügt. Dennoch ist es für LinkedIn aufgrund der Komplexität der Plattform nach wie vor schwierig, jeden Nutzer ausreichend vor Bedrohungen zu schützen. Es liegt also am Einzelnen, die eigenen Daten vor unbefugtem Zugriff zu bewahren“, kommentiert Richard Werner, Business Consultant bei der Trend Micro Deutschland GmbH in Garching, die Erkenntnisse zum Thema ‚Daten-Diebstahl‘.
Mit rund 875 Millionen Nutzern in über 200 Ländern (Stand: November 2022) ist LinkedIn eine stark frequentierte Plattform für Informationen aus der Arbeits- und Unternehmenswelt. Das Netzwerk für den Karriere-begleitenden Austausch ist seit 2003 online und gehört seit Dezember 2016 zu Microsoft. Es bietet diverse Tools für das Recruiting an und ist damit als Datenpool für Arbeitgeber wie Arbeitnehmer gleichermaßen von Belang. Mit der hohen Relevanz aufseiten der Anwender geht allerdings eine zunehmende Beliebtheit bei Cyber-Kriminellen einher. Über fiktive LinkedIn-Profile verschaffen sich beispielsweise vermeintliche Headhunter Zugriff auf die Lebensläufe interessierter Kandidaten. Sie profitieren insbesondere von der Verbindung privater und geschäftlicher Informationen.
In seinen Ausführungen zur Problematik gibt der Sicherheits-Anbieter Trend Micro konkrete Hinweise, wie Unternehmen und User sich schützen können. So sollten es Anwender vor allem vermeiden, sensible oder personenbezogene Daten wie E-Mails, Telefonnummern oder Adressen für alle öffentlich einsehbar zu posten. Zudem ist es ratsam, die Sichtbarkeit für Beiträge festzulegen, bevor eine Freigabe zur Teilung erfolgt. Dabei ist zu entscheiden, welche Posts von Followern, Verbindungen und Nicht-Verbindungen gesehen werden. Schließlich sind auch die Social-Media-Richtlinien des Arbeitgebers zu beachten. Dies betrifft etwa Gesetze und Compliance-Regelungen sowie die aktuellen Pläne für den Schutz der Privatsphäre und das Management von Sicherheits-Vorfällen. Über alldem jedoch steht stets die Abwägung, welche Informationen überhaupt öffentlich zugänglich sein sollten. Eine Anpassung von Benutzerprofilen und Datenschutz-Einstellungen hilft hier die Auswahl zu begrenzen.
Aber auch die Unternehmen stehen Trend Micro zufolge in der Pflicht, die Daten ihrer Angestellten zu schützen. Ratsam sei es zuallererst, klare Richtlinien für den Auftritt in sozialen Medien zu implementieren. Auch hier sollte definiert sein, welche Unternehmens-Daten öffentlich gepostet werden dürfen. Diese Vorgaben können je nach Stellung des Mitarbeiters und der Sensibilität der Informationen variieren. Höhere Positionen erfordern aufgrund des weitreichenderen Zugriffs auf Informationen auch restriktivere Regeln. Als Standard empfehlen die Experten außerdem eine Multifaktor-Authentifizierung (MFA) für alle geschäftlichen und privaten Konten. Auf etwaige Notfälle indes kann die regelmäßige Erprobung von Szenarien des Konten-, Profil-, Compliance-, Verifizierungs- und Vorfalls-Managements vorbereiten.
Laut Trend Micro sind Unternehmen und User mit den vorgenannten Best-Practices für eine geschützte Teilnahme an ‚LinkedIn‘ gut gerüstet. Mittlerweile aber ist auch der Plattform-Betreiber selbst bestrebt, gefälschte Profile zu eliminieren. 11,9 Millionen falsche Konten konnte LinkedIn schon bei der Registrierung entlarven. Bei weiteren 4,4 Millionen gelang dies zumindest, bevor sie von Benutzern gemeldet wurden. Im Oktober 2022 führte das Unternehmen darüber hinaus Funktionen zur Authentifizierung von Profilen ein.
