黑客在LinkedIn上創(chuàng)建虛假個人賬號來盜竊用戶信息

研究人員發(fā)現(xiàn)，黑客在LinkedIn上創(chuàng)建虛假的個人賬號，并通過這些賬號來盜竊用戶信息，從而進行商業(yè)間諜活動以及社會工程學(xué)攻擊。
 

在LinkedIn中，個人檔案包含幾個重要的部分。首先是頭像的展示。一張清晰大方的頭像將立即為檔案增加可見度與真實度。第二為職業(yè)概述。綜合展示職業(yè)背景、領(lǐng)域、目標(biāo)與興趣。第三就是工作經(jīng)歷。展示工作經(jīng)歷，無論全職還是兼職，提供與職位有關(guān)的細節(jié)，以便檔案訪客能夠快速了解工作信息。
 

戴爾公司反威脅安全部門的安全研究專家已經(jīng)在針對中東，北非以及南亞的個人用戶的社會工程學(xué)攻擊活動中發(fā)現(xiàn)了一個虛假網(wǎng)絡(luò)，并在這個虛假網(wǎng)絡(luò)中發(fā)現(xiàn)了至少25個經(jīng)過精心設(shè)計的LinkedIn賬號。據(jù)了解，這些虛假的賬號與另外的204個合法的個人賬號有聯(lián)系，這些合法的個人賬號來源于安全防御，電信通訊，政府，以及公共事業(yè)等領(lǐng)域。其中，有四分之一的目標(biāo)用戶來源于中東和北非的電信部門。幸運的是，LinkedIn已經(jīng)將這些虛假的賬號從數(shù)據(jù)庫中刪除了。
 

這一虛假網(wǎng)絡(luò)的創(chuàng)建可以幫助攻擊者通過社會工程學(xué)的方法來對目標(biāo)用戶實施攻擊。在用戶的私人網(wǎng)絡(luò)中，用戶會很輕易地信任網(wǎng)絡(luò)組中的其他用戶，而在這樣的情況下，用戶會更加容易受到網(wǎng)絡(luò)釣魚郵件的攻擊。除此之外，目標(biāo)用戶還很有可能去訪問一個由同一網(wǎng)絡(luò)中其他用戶所推薦的某一網(wǎng)站。
 

在這個網(wǎng)絡(luò)中存在有八個負責(zé)人的賬號，這些賬號的個人信息帶有完整的教育經(jīng)歷以及非常詳細的工作經(jīng)歷(當(dāng)然了，這些信息肯定是假的)。剩下的簡介信息是關(guān)于網(wǎng)絡(luò)服務(wù)的一些相關(guān)數(shù)據(jù)，而這些信息可以讓這個網(wǎng)絡(luò)看起來更加像正常的合法網(wǎng)絡(luò)。這些賬號自稱屬于主要行業(yè)領(lǐng)域的某些公司，這些公司包括國防承包商Northrop Grumman公司，TeleDyne科技公司，馬來西亞的RHB興業(yè)銀行，以及韓國Doosan控股公司。其中有五位網(wǎng)絡(luò)負責(zé)人自稱是TeleDyne科技公司，Doosan控股以及空客公司的招聘人員，其余三名負責(zé)人則自稱是Doosan控股公司以及石油化工行業(yè)的工作人員。
 

研究人員表示，長久以來，攻擊者都會利用社交網(wǎng)絡(luò)來進行他們的偵查工作。他們會有針對性地挑選出需要發(fā)布到網(wǎng)站上的個人信息，因為這樣做的攻擊成功率才是最高的。近期，虛假的LinkedIn簡介信息正在不斷增加，很有可能是因為這樣的社會工程學(xué)攻擊能夠給黑客們帶來可觀的回報。
 

這些虛假的賬號會自稱是某些公司的招聘者，所以只要目標(biāo)用戶動心了，那么他們就有可能成為攻擊者的“盤中餐”。正因為如此，所以SecureWorks的研究人員建議大家直接聯(lián)系公司的HR，這樣就可以直接鑒別這一招聘信息是否合法了。
 

攻擊者可以通過虛假網(wǎng)絡(luò)來向用戶發(fā)送鏈接請求來與用戶直接建立關(guān)系。他們同樣也可以嘗試與目標(biāo)用戶進行連接。研究人員說到：“如果其中一個虛假賬戶已經(jīng)與目標(biāo)的LinkedIn網(wǎng)絡(luò)相連接了，那么與用戶建立直接的關(guān)系將變得更加的簡單。”
 

當(dāng)某一用戶聲稱自己與某人有相互聯(lián)系的時候，用戶應(yīng)當(dāng)站在一個“明智且謹慎”的立場來看待這一信息。因為這個人在你同事或者朋友的網(wǎng)絡(luò)中，并不意味著這個人就是可以信任的。用戶應(yīng)當(dāng)在LinkedIn之外的地方來鑒別這個人。
 

有些虛假的賬號甚至?xí)形灏俣鄠€有關(guān)系的網(wǎng)絡(luò)，這也就意味著，這個賬號已經(jīng)與一些目標(biāo)用戶有著根深蒂固的網(wǎng)絡(luò)關(guān)系了，而且這個賬號也可以訪問到很多的共享信息。當(dāng)目標(biāo)用戶接受了LinkedIn的請求，當(dāng)網(wǎng)站詢問到時，他們很有可能會共享他們的個人信息，因為這個人不再是一個陌生人了，而是一個與自己有著某種聯(lián)系的人。
 

研究人員說到：“從這些賬號的個人簡介中，我們可以看到，這些不法分子在創(chuàng)建和維護這些賬號的時候，投入了大量的時間和精力。”
 

目前，社交網(wǎng)絡(luò)情報收集是攻擊者一種常見的做法，特別是針對類似LinkedIn的專業(yè)社會媒體。因此，下一次在你點擊“接受”按鈕之前，請你再三確認這個人的真實身份。
 

領(lǐng)英 V3.5.2 安卓版

類別：聊天社交   大小：41.91M    語言：簡體中文

評分：10

下載地址