Una proliferación reciente de perfiles de ejecutivos falsos en LinkedIn está creando una especie de crisis de identidad para el sitio de redes empresariales y para las empresas que dependen de él para contratar y evaluar a los posibles empleados. Las identidades fabricadas de LinkedIn, que combinan fotos de perfil generadas por IA con texto extraído de cuentas legítimas, están creando grandes dolores de cabeza para los departamentos de recursos humanos corporativos y para aquellos que administran grupos de LinkedIn solo por invitación.
Algunos de los perfiles falsos marcados por el coadministrador de un popular grupo de sostenibilidad en LinkedIn.
La semana pasada, KrebsOnSecurity examinó una avalancha de perfiles de LinkedIn no auténticos que reclamaban funciones de director de seguridad de la información (CISO) en varias empresas de Fortune 500, incluidas Biogen , Chevron , ExxonMobil y Hewlett Packard .
Desde entonces, la respuesta de los usuarios y lectores de LinkedIn ha dejado en claro que estos perfiles falsos están apareciendo en masa para prácticamente todos los roles ejecutivos, pero particularmente para trabajos e industrias adyacentes a eventos globales recientes y tendencias de noticias.
Hamish Taylor dirige el grupo de profesionales de la sostenibilidad en LinkedIn, que cuenta con más de 300 000 miembros. Junto con el copropietario del grupo, Taylor dijo que han bloqueado más de 12,700 perfiles sospechosos de ser falsos en lo que va del año , incluidas docenas de cuentas recientes que Taylor describe como “intentos cínicos de explotar a los expertos en ayuda humanitaria y ayuda en crisis”.
“Recibimos más de 500 solicitudes de perfiles falsos para unirnos semanalmente”, dijo Taylor. “Ha sido golpeado como el infierno desde enero de este año. Antes de eso, no teníamos los enjambres de falsificaciones que experimentamos ahora”.
Taylor publicó recientemente una entrada en LinkedIn titulada ” La crisis de las identificaciones falsas en LinkedIn “, que satirizaba a los “60 ‘Expertos en alivio de crisis’ menos buscados’: perfiles falsos que afirmaban ser expertos en esfuerzos de recuperación de desastres tras los huracanes recientes. Las imágenes de arriba y abajo muestran solo uno de esos enjambres de perfiles que el grupo marcó como no auténticos. Prácticamente todos estos perfiles fueron eliminados de LinkedIn después de que KrebsOnSecurity tuiteara sobre ellos la semana pasada.
Mark Miller es el propietario del grupo DevOps en LinkedIn y dice que trata con perfiles falsos todos los días, a menudo cientos por día. Lo que Taylor llamó “enjambres” de cuentas falsas, Miller lo describió como “oleadas” de solicitudes entrantes de cuentas falsas.
“Cuando un bot intenta infiltrarse en el grupo, lo hace en oleadas”, dijo Miller. “Veremos 20-30 solicitudes con el mismo tipo de información en los perfiles”.
Después de tomar capturas de pantalla de las oleadas de presuntas solicitudes de perfiles falsos, Miller comenzó a enviar las imágenes a los equipos de abuso de LinkedIn, que le dijeron que revisarían su solicitud, pero que es posible que nunca se le notifique ninguna acción tomada.
Miller dijo que estos perfiles se enumeran en el orden en que aparecieron.
Miller dijo que después de meses de quejarse y compartir información de perfil falso con LinkedIn, la red social pareció hacer algo que provocó que el volumen de solicitudes de membresía grupal de cuentas falsas cayera precipitadamente.
“Escribí a nuestro representante de LinkedIn y le dije que estábamos considerando cerrar el grupo porque los bots eran tan malos”, dijo Miller. “Dije: ‘Ustedes deberían estar haciendo algo en el back-end para bloquear esto”.
Jason Lathrop es vicepresidente de tecnología y operaciones de ISOutsource , una empresa de consultoría con sede en Seattle que cuenta con aproximadamente 100 empleados. Al igual que Miller, la experiencia de Lathrop en la lucha contra los perfiles de bots en LinkedIn sugiere que el gigante de las redes sociales eventualmente responderá a las quejas sobre cuentas no auténticas. Es decir, si los usuarios afectados se quejan lo suficientemente fuerte (publicarlo públicamente en LinkedIn parece ayudar).
Lathrop dijo que hace unos dos meses su empleador notó oleadas de nuevos seguidores e identificó a más de 3000 seguidores que compartían varios elementos, como fotos de perfil o descripciones de texto.
“Entonces me di cuenta de que todos afirman trabajar para nosotros en algún cargo aleatorio dentro de la organización”, dijo Lathrop en una entrevista con KrebsOnSecurity. “Cuando nos quejamos a LinkedIn, nos decían que estos perfiles no violaban las pautas de su comunidad. ¡Pero como diablos no lo hacen! ¡Estas personas no existen y afirman que trabajan para nosotros!”.
Lathrop dijo que después de la tercera queja de su empresa, un representante de LinkedIn respondió pidiéndole a ISOutsource que enviara una hoja de cálculo con una lista de todos los empleados legítimos de la empresa y sus enlaces de perfil correspondientes.
No mucho después de eso, los perfiles falsos que no estaban en la lista de la empresa fueron eliminados de LinkedIn. Lathrop dijo que todavía no está seguro de cómo van a manejar la entrada de nuevos empleados en su empresa en LinkedIn en el futuro.
No está claro por qué LinkedIn se ha visto inundado con tantos perfiles falsos últimamente , o cómo se obtienen las fotos de perfil falsas. Las pruebas aleatorias de las fotos de perfil muestran que se parecen pero no coinciden con otras fotos publicadas en línea. Varios lectores señalaron una fuente probable: el sitio web thispersondoesnotexist.com, que hace que el uso de inteligencia artificial para crear fotografías únicas sea un ejercicio de apuntar y hacer clic.
La firma de seguridad cibernética Mandiant (recientemente adquirida por Google ) le dijo a Bloomberg que los piratas informáticos que trabajan para el gobierno de Corea del Norte han estado copiando currículos y perfiles de las principales plataformas de listado de trabajos LinkedIn e Indeed, como parte de un elaborado esquema para conseguir empleos en empresas de criptomonedas.
Los perfiles falsos también pueden estar vinculados a las llamadas estafas de “matanza de cerdos” , en las que extraños coquetos en línea atraen a las personas para que inviertan en plataformas de comercio de criptomonedas que finalmente confiscan los fondos cuando las víctimas intentan retirar dinero.
Además, se sabe que los ladrones de identidad se hacen pasar por reclutadores de empleo en LinkedIn y recopilan información personal y financiera de personas que caen en estafas de empleo.
Pero el administrador del Grupo de Sostenibilidad, Taylor, dijo que los bots que ha rastreado de manera extraña no responden a los mensajes, ni parecen intentar publicar contenido.
“Claramente, no están monitoreados”, evaluó Taylor. “O simplemente se crean y luego se dejan que se infecten”.
Esta experiencia fue compartida por el administrador del grupo DevOp, Miller, quien dijo que también intentó atraer a los perfiles falsos con mensajes que hacen referencia a su falsedad. Miller dice que le preocupa que alguien esté creando una red social masiva de bots para algún ataque futuro en el que las cuentas automatizadas puedan usarse para amplificar información falsa en línea, o al menos confundir la verdad.
“Es casi como si alguien estuviera configurando una gran red de bots para que cuando haya un gran mensaje que deba enviarse, puedan publicar en masa con todos estos perfiles falsos”, dijo Miller.
“Es casi como si alguien estuviera configurando una gran red de bots para que cuando haya un gran mensaje que deba enviarse, puedan publicar en masa con todos estos perfiles falsos”, dijo Miller.
En la historia de la semana pasada sobre este tema, sugerí que LinkedIn podría tomar un paso simple que haría mucho más fácil que las personas tomen decisiones informadas sobre si confiar en un perfil determinado: Agregar una fecha de “creado en” para cada perfil. Twitter hace esto y es de gran ayuda para filtrar una gran cantidad de ruido y comunicaciones no deseadas.
Muchos de nuestros lectores en Twitter dijeron que LinkedIn debe brindarles a los empleadores más herramientas, tal vez algún tipo de interfaz de programación de aplicaciones (API), que les permita eliminar rápidamente los perfiles que afirman falsamente que están empleados en sus organizaciones.
Otro lector sugirió que LinkedIn también podría experimentar ofreciendo algo similar a la marca verificada de Twitter a los usuarios que optaron por validar que pueden responder al correo electrónico en el dominio asociado con su empleador actual declarado.
En respuesta a las preguntas de KrebsOnSecurity, LinkedIn dijo que estaba considerando la idea de verificación de dominio.
“Este es un desafío continuo y estamos mejorando constantemente nuestros sistemas para detener las falsificaciones antes de que entren en línea”, dijo LinkedIn en una declaración escrita. “Detenemos la gran mayoría de la actividad fraudulenta que detectamos en nuestra comunidad: alrededor del 96 % de las cuentas falsas y alrededor del 99,1 % del spam y las estafas. También estamos explorando nuevas formas de proteger a nuestros miembros, como expandir la verificación del dominio de correo electrónico. Nuestra comunidad se trata de personas auténticas que tienen conversaciones significativas y siempre aumentan la legitimidad y la calidad de nuestra comunidad”.
En una historia publicada el miércoles , Bloomberg señaló que hasta ahora LinkedIn ha evitado en gran medida los escándalos sobre bots que han afectado a redes como Facebook y Twitter. Pero ese brillo está empezando a desaparecer, ya que más usuarios se ven obligados a perder más tiempo luchando contra cuentas no auténticas.
“Lo que está claro es que el prestigio de LinkedIn como red social para profesionales serios la convierte en la plataforma perfecta para adormecer a los miembros con una falsa sensación de seguridad”, escribió Tim Cuplan de Bloomberg . “Lo que exacerba el riesgo de seguridad es la gran cantidad de datos que LinkedIn recopila y publica, y que sustenta todo su modelo comercial, pero que carece de mecanismos de verificación sólidos”.
Fuente: krebsonsecurity
