Ile danych osobowych udostępniasz na stronach profilu w mediach społecznościowych? Imię i nazwisko, lokalizacja, wiek, stanowisko, stan cywilny? Ilość informacji, które ludzie chętnie publikują w Internecie, jest różna. Większość osób akceptuje fakt, że wszystko, co umieścimy na stronie profilu publicznego, jest własnością publiczną.
Jak więc byś się czuł, gdyby wszystkie Twoje informacje zostały skatalogowane przez hakera i umieszczone w olbrzymim arkuszu kalkulacyjnym z milionami wpisów, aby zostać sprzedanym online najlepiej opłacanemu cyberprzestępcy?
To właśnie zrobił haker nazywający siebie Tom Liner w zeszłym miesiącu, gdy skompilował bazę danych 700 milionów użytkowników LinkedIn z całego świata, którą sprzedaje za około 5000 dolarów (3600 funtów; 4200 euro).
Ten incydent i inne podobne przypadki scrapingu w mediach społecznościowych wywołały zaciekłą debatę na temat tego, czy podstawowe dane osobowe, które udostępniamy publicznie na naszych profilach, powinny być lepiej chronione.
W przypadku Linera, jego najnowszy exploit został ogłoszony o 08:57 BST w poście na znanym forum hakerskim. „Cześć, mam 700 milionów 2021 rekordów LinkedIn” – napisał.
W poście znalazł się link do próbki miliona rekordów oraz zaproszenie dla innych hakerów, aby skontaktowali się z nim prywatnie i złożyli mu oferty dotyczące jego bazy danych. Zrozumiałe, że sprzedaż wywołała poruszenie w świecie hakerskim.
Wiadomość ta rozpaliła również świat cyberbezpieczeństwa i prywatności, argumentując, czy powinniśmy się martwić rosnącym trendem scrapingu. Ważne jest, aby zrozumieć, że te bazy danych nie są tworzone przez włamywanie się na serwery lub strony internetowe sieci społecznościowych. Są one w dużej mierze konstruowane przez „zdrapywanie” publicznie dostępnej powierzchni platform za pomocą automatycznych programów, aby pobrać wszelkie informacje o użytkownikach, które są swobodnie dostępne. Teoretycznie większość kompilowanych danych można znaleźć po prostu przeglądając poszczególne strony profili w mediach społecznościowych, jedna po drugiej.
Jak dotąd, w tym roku miały miejsce co najmniej trzy inne poważne incydenty związane ze scrapingiem.
W kwietniu haker sprzedał kolejną bazę danych zawierającą około 500 milionów rekordów z LinkedIn. W tym samym tygodniu inny haker za darmo umieścił na forum bazę danych wykradzionych informacji z 1,3 miliona profili Clubhouse. Również w kwietniu zebrano 533 miliony danych użytkowników Facebooka.
Tom Liner znalazł sposób na oszukanie oprogramowania API LinkedIn, aby dało mu ogromną transzę rekordów bez uruchamiania alarmów. Privacy Shark, który jako pierwszy odkrył sprzedaż bazy danych, zbadał bezpłatną próbkę i stwierdził, że zawiera ona imiona i nazwiska, adresy e-mail, płeć, numery telefonów i informacje branżowe. LinkedIn twierdzi, że Tom Liner nie korzystał z ich interfejsu API, ale potwierdził, że zbiór danych „zawiera informacje pozyskane z LinkedIn, a także informacje uzyskane z innych źródeł”. Dodaje: „To nie było naruszenie danych LinkedIn i żadne prywatne dane członków LinkedIn nie zostały ujawnione. Pozyskiwanie danych z LinkedIn jest naruszeniem naszych warunków korzystania z usługi i stale pracujemy nad zapewnieniem ochrony prywatności naszych członków”.
Jednak fakt, że hakerzy zarabiają na tych bazach danych, niepokoi niektórych ekspertów ds. cyberbezpieczeństwa.
Amir Hadžipašić, dyrektor naczelny i założyciel SOS Intelligence, firmy dostarczającej firmom informacje o zagrożeniach, dzień i noc przeczesuje fora hakerskie. Gdy tylko rozeszła się wiadomość o 700-milionowej bazie danych LinkedIn, on i jego zespół zaczęli analizować dane. Hadžipašić uważa, że programy API, które dostarczają więcej informacji o użytkownikach, niż może zobaczyć ogół społeczeństwa, powinny być ściślej kontrolowane.
Hadžipašić, który ma siedzibę w południowej Anglii, mówi, że hakerzy, którzy kupują dane z LinkedIn, mogą wykorzystać je do uruchomienia ukierunkowanych kampanii hakerskich na cele wysokiego szczebla, takie jak na przykład szefowie firm. Wartość ma sama liczba aktywnych e-maili w bazie danych, które można wykorzystać do wysyłania masowych kampanii phishingowych.
Jednak ekspert ds. bezpieczeństwa cybernetycznego Troy Hunt, który większość swojego życia zawodowego spędza na przeglądaniu zawartości zhakowanych baz danych dla swojej witryny haveibeenpwned.com, jest mniej zaniepokojony ostatnimi incydentami związanymi ze scrapingiem i mówi, że musimy je zaakceptować jako część naszego publicznego profilu. „To zdecydowanie nie są naruszenia, nie ma tu niejasności. Większość tych danych i tak jest upubliczniona.” „Pytanie, które należy zadać w każdym przypadku, brzmi: jaka część tych informacji jest publicznie dostępna z wyboru użytkownika, a jaka nie powinna być publicznie dostępna”.
Troy zgadza się z Amirem, że należy poprawić kontrolę programów API sieci społecznościowych i mówi, że nie możemy lekceważyć tych incydentów.
