Nadmiar fałszywych profili na LinkedIn stawia HR przed botami – Krebs in Security

Niedawne rozpowszechnienie fałszywych profili kierowniczych na LinkedIn Stwarza coś w rodzaju kryzysu tożsamości dla witryny sieci biznesowej i firm, które polegają na niej w celu rekrutacji i sprawdzania potencjalnych pracowników. Fałszywe tożsamości LinkedIn — które łączą obrazy profilowe generowane przez sztuczną inteligencję z tekstem z legalnych kont — stwarzają poważne problemy dla działów HR firmy oraz dla tych, którzy zarządzają grupami LinkedIn przeznaczonymi tylko dla zaproszonych.

Niektóre fałszywe profile zgłoszone przez współadministratora popularnej grupy ds. zrównoważonego rozwoju na LinkedIn.

W zeszłym tygodniu sprawdzone KrebsOnSecurity Torrent nieoryginalnych profili LinkedIn Wszystkie wymagają pełnienia funkcji dyrektora ds. bezpieczeństwa informacji (CISO) w różnych firmach z listy Fortune 500, w tym BiogenA szewronA ExxonMobilA Hewlett Packard.

Od tego czasu odpowiedzi użytkowników i czytelników LinkedIn jasno pokazały, że te fałszywe profile pojawiają się zbiorczo dla prawie wszystkich stanowisk kierowniczych – ale zwłaszcza dla zawodów i branż związanych z ostatnimi wydarzeniami na świecie i trendami informacyjnymi.

Hamish Taylor uruchomić Specjaliści ds. zrównoważonego rozwoju Grupa na LinkedIn, która liczy ponad 300 000 członków. Razem ze współwłaścicielem grupy Taylor powiedział, że zakazali Do tej pory w tym roku ponad 12 700 podejrzanych profiliw tym dziesiątki ostatnich powieści, które Taylor określił jako „satyryczne próby manipulowania ekspertami ds. pomocy humanitarnej i kryzysowej”.

„Co tydzień otrzymujemy ponad 500 fałszywych próśb o dołączenie do profilu” – powiedział Taylor. „Piekło uderza od około stycznia tego roku. Wcześniej nie dostaliśmy rojów podróbek, które widzimy teraz.”

Slajd otwierający apel Taylor Group do LinkedIn.

Taylor niedawno opublikował wpis na LinkedIn zatytułowany „LinkedIn kryzys fałszywej tożsamości, który kpił z „60 najmniej poszukiwanych ekspertów ds. pomocy w sytuacjach kryzysowych” – fałszywych profili, które twierdziły, że są ekspertami w działaniach na rzecz odzyskiwania po niedawnych huraganach. Obrazy powyżej i poniżej pokazują tylko jeden rój profili, które grupa zidentyfikowała jako nieoryginalne. Prawie wszystkie te profile zostały usunięte z LinkedIn po tym, jak KrebsOnSecurity napisał o nich w zeszłym tygodniu na Twitterze.

Kolejny „rój” kont botów LinkedIn zidentyfikowanych przez grupę Taylora.

Mark Miller jest właścicielem DevOps . grupa Na LinkedIn mówi, że na co dzień ma do czynienia z fałszywymi profilami – często setkami dziennie. To, co Taylor nazwał „rojami” fałszywych kont, Miller opisał jako „fale” żądań z fałszywych kont.

„Kiedy robot próbuje zinfiltrować grupę, robi to falami” – powiedział Miller. „W profilach zobaczymy 20-30 żądań zawierających ten sam rodzaj informacji”.

Po sfilmowaniu fal podejrzanych próśb o podanie fałszywych profili Miller zaczął wysyłać zdjęcia do zespołów ds. nadużyć LinkedIn, które powiedziały mu, że rozpatrzą jego prośbę, ale mogą nie zostać powiadomieni o żadnych podjętych działaniach.

Niektóre profile botów zidentyfikowane przez Marka Millera szukały dostępu do jego grupy DevOps LinkedIn. Wszystkie te profile są wymienione w kolejności, w jakiej się pojawiły, powiedział Miller.

Miller powiedział, że po miesiącach składania skargi i udostępniania fałszywych informacji o profilu na LinkedIn sieć mediów społecznościowych robiła coś, co spowodowało drastyczny spadek liczby próśb o członkostwo w grupie z fałszywych kont.

„Napisałem do naszego przedstawiciela LinkedIn i powiedziałem, że rozważamy zamknięcie grupy, ponieważ boty są tak złe” – powiedział Miller. „Powiedziałem: „Powinieneś zrobić coś na zapleczu, aby temu zapobiec. „

Jason Lathrop Jest wiceprezesem ds. technologii i operacji w ISOoutsource, firma konsultingowa z siedzibą w Seattle, zatrudniająca około 100 pracowników. Podobnie jak Miller, doświadczenie Lathropa w walce z profilami botów na LinkedIn sugeruje, że gigant sieci społecznościowych w końcu odpowie na skargi dotyczące nieoryginalnych kont. Oznacza to, że jeśli dotknięci użytkownicy narzekają wystarczająco głośno (opublikowanie tego publicznie na LinkedIn wydaje się pomagać).

Jak powiedział Lathrop, około dwa miesiące temu pracodawca zauważył fale nowych obserwujących i zidentyfikował ponad 3000 obserwujących, którzy udostępniali różne elementy, takie jak zdjęcia profilowe lub opisy tekstowe.

„Wtedy zauważyłem, że wszyscy twierdzili, że pracują z nami nad losowym tytułem w organizacji” – powiedział Lathrop w wywiadzie dla Krebsa o bezpieczeństwie. „Kiedy złożyliśmy skargę do LinkedIn, powiedzieli nam, że te profile nie naruszają ich wytycznych dla społeczności. Ale do licha, nie! Ci ludzie nie istnieją i twierdzą, że pracują dla nas!”

Lathrop powiedział, że po trzeciej skardze jego firmy przedstawiciel LinkedIn odpowiedział, prosząc ISOoutsource o przesłanie arkusza kalkulacyjnego zawierającego listę wszystkich legalnych pracowników firmy oraz odpowiadające im linki do profili.

Wkrótce potem fałszywe profile, których nie było na liście firm, zostały usunięte z LinkedIn. Lathrop powiedział, że nadal nie jest pewien, jak poradzą sobie w przyszłości z wpuszczaniem nowych pracowników do swojej firmy na LinkedIn.

Nadal nie jest jasne, dlaczego pojawia się LinkedIn Zalany ostatnio wieloma fałszywymi profilamiLub jak pozyskiwane są fałszywe zdjęcia profilowe. Losowe testy zdjęć profilowych pokazują, że są one podobne, ale nie identyczne z innymi zdjęciami zamieszczonymi w Internecie. Kilku czytelników wskazało jedno potencjalne źródło — thispersondoesnotexist.com, które sprawia, że ​​korzystanie ze sztucznej inteligencji do tworzenia unikalnych zdjęć w głowę jest ćwiczeniem typu „wskaż i kliknij”.

firma zajmująca się bezpieczeństwem cybernetycznym Mandiant (Ostatnio nabyte przez Google) Powiedz Bloombergowi Hakerzy pracujący dla rządu Korei Północnej kopiowali życiorysy i profile z wiodących platform z ofertami pracy LinkedIn, a tak naprawdę w ramach skomplikowanego programu pozyskiwania pracy w firmach kryptograficznych.

Fałszywe profile mogą również kojarzyć się z tzw Sztuczki „Uboju świń”gdzie ludzie są zwabiani przez zalotnych nieznajomych online do inwestowania w giełdy kryptowalut, które ostatecznie konfiskują wszelkie środki, gdy ofiary próbują wypłacić pieniądze.

Ponadto zidentyfikowano złodziei tożsamości Udawać na LinkedIn jako pracowników do pracyoraz zbieranie informacji osobistych i finansowych od osób, które padają ofiarą oszustw rekrutacyjnych.

Ale Taylor, dyrektor grupy ds. zrównoważonego rozwoju, powiedział, że boty, które je śledzą, dziwnie nie odpowiadają na wiadomości i nie wydają się próbować publikować treści.

Taylor ocenił: „Wyraźnie nie są monitorowani”. „Albo są po prostu tworzone, a następnie pozostawiane, by się zaogniły”.

To doświadczenie podzielił menedżer grupy DevOp, Miller, który powiedział, że próbował również zwabić fałszywe profile wiadomościami sugerującymi ich podróbki. Miller mówi, że martwi się, że ktoś mógłby stworzyć ogromną sieć społecznościową botów do jakiegoś przyszłego ataku, w którym konta botów mogą być wykorzystywane do wzmacniania dezinformacji w Internecie lub przynajmniej do zniekształcania prawdy.

„To tak, jakby ktoś budował ogromną sieć botów, więc gdy trzeba przekazać dużą wiadomość, może po prostu masowo wysyłać wiadomości z tymi wszystkimi fałszywymi profilami” – powiedział Miller.

W artykule na ten temat z zeszłego tygodnia zasugerowałem, aby LinkedIn wykonał jeden prosty krok, który bardzo ułatwia ludziom podejmowanie świadomych decyzji dotyczących zaufania do konkretnego profilu: dodanie daty „utworzono w” do każdego profilu. Twitter to robi i jest bardzo przydatny do odfiltrowywania dużej ilości szumu i niechcianej komunikacji.

Kilku naszych czytelników na Twitterze powiedziało, że LinkedIn musi zapewnić pracodawcom więcej narzędzi – być może jakiś rodzaj API – które pozwoliłyby im szybko usuwać profile, które fałszywie twierdzą, że działają w ich organizacjach.

Inny czytelnik zasugerował, że LinkedIn może również spróbować zaoferować coś podobnego do zweryfikowanego tagu Twittera użytkownikom, którzy zdecydowali się zweryfikować, czy mogą odpowiedzieć na e-maile w domenie powiązanej z ich obecnym ogłoszonym pracodawcą.

W odpowiedzi na pytania KrebsOnSecurity, LinkedIn powiedział, że rozważa pomysł weryfikacji domeny.

„Jest to ciągłe wyzwanie i nieustannie pracujemy nad ulepszaniem naszych systemów, aby powstrzymać podrabiane produkty, zanim pojawią się w Internecie” – powiedział LinkedIn w pisemnym oświadczeniu. „Zatrzymujemy zdecydowaną większość oszukańczych działań, które wykrywamy w naszej społeczności – około 96% fałszywych kont i około 99,1% spamu i oszustw. Badamy również nowe sposoby ochrony naszych członków, takie jak rozszerzenie weryfikacji domeny e-mail. Nasza społeczność obraca się wokół prawdziwych ludzi prowadzących rozmowy, celowe i zawsze w celu zwiększenia legitymacji i jakości naszego społeczeństwa.

w Historia opublikowana w środęBloomberg zauważa, że ​​LinkedIn do tej pory w dużej mierze uniknął skandali wokół botów, które nękają sieci takie jak Facebook i Twitter. Ale ten blask zaczyna się opłacać, ponieważ coraz więcej użytkowników jest zmuszonych tracić więcej czasu na walkę z nieoryginalnymi kontami.

„Oczywiste jest, że profil LinkedIn jako sieci społecznościowej dla poważnych profesjonalistów sprawia, że ​​jest to idealna platforma do usypiania członków w fałszywym poczuciu bezpieczeństwa”. Tim Kiplan Napisał. „Pogłębieniem ryzyka związanego z bezpieczeństwem jest ogromna ilość danych, które LinkedIn gromadzi i publikuje, co stanowi podstawę całego modelu biznesowego, ale brakuje mu solidnych mechanizmów weryfikacji”.