歡迎登入資安人
若您還不是會員,請點選下方加入會員
忘記密碼
加入資安人會員
登入
新聞
觀點
專題
解決方案
活動
訂閱電子報
資安人粉絲團
聯絡我們
關於我們
合作詢問
隱私權政策
香港商法蘭克福展覽有限公司台灣傳媒分公司
110 台北市信義區市民大道六段288號8F
886-2-8729-1099
新聞
觀點
專題
解決方案
活動
訂閱電子報
登入
登入
訂閱電子報
新聞
觀點
專題
解決方案
活動
新聞
您現在位置 : 首頁 >
新聞
LinkedIn 遭發現漏洞,任何人均可冒名任何公司發布職缺訊息
2021 / 08 / 23
編輯部
資安專家 Herman Singh 近曰發現全球熱門求職求才社群網站 LinkedIn,在張貼職缺的流程中存有一個嚴重漏洞,導致任何人均可冒名任何公司張貼虛假求才訊息,不但能取得求職者的詳細資訊,也能夾帶各種惡意檔案,進一步發動各種駭侵攻擊。
據資安專業媒體 BleepingComputer 的測試,LinkedIn 在張貼求才職缺訊息的流程中,預設情形下並未限制僅能由求才公司所屬的帳號來張貼職缺訊息,因此任何人都能「代替」任何公司,在 LinkedIn 上張貼職缺;而且用這種方式張貼出來的職缺,看起來和被冒名公司開出的職缺,幾乎沒有差別。
資安專家指出,LinkedIn 在張貼職缺公告的這個漏洞,將可導致嚴重的資安風險;一來會有很多不知情的求職者,針對虛假的大公司熱門職缺投遞個人履歷,駭侵者可藉以收集大量求職者的機敏個資,包括姓名、性別、Email、照片、工作經歷、連絡方式等資訊,另外還可以在求職訊息中夾帶各式可用來進行駭侵攻擊的元件,例如植入惡意軟體的檔案、將求職者導向惡意網站,以發動釣魚攻擊的連結等等。
BleepingComputer 指出,在 LinkedIn 網站上,並未提供驗證張貼者真實資格的流程,也沒有選項可讓公司行號限制只有哪些帳號可以張貼連結;BleepingComputer 去函微軟公司旗下的 LinkedIn 資安團隊,也沒有得到具體的解釋。
資安專家建議各大公司的人資部門人員,在 LinkedIn 針對此問題提出解決方案前,應該提高警覺,定期巡查自己公司在 LinkedIn 上的相關內容,並且透過搜尋功能,檢視有無任何冒名張貼職缺的情況,發現後即刻回報 LinkedIn 進行處理。
本文轉載自TWCERT/CC。
LinkedIn
釣魚攻擊
最新活動
2022.06.28
【精誠資訊科技講堂】企業難分難捨的開源軟體,資安漏洞防堵全攻略!
2022.07.23
【資安學院】iPAS-資訊安全中級工程師能力研習備戰班
2022.08.08
【資安學院】8/8-8/12 ISO 27701:2019個人資料管理系統主導稽核員訓練課程
看更多活動
大家都在看
電子郵件安全中的缺失環節
平衡才是王道!後疫時代下企業關注資安防禦和商業敏捷性的平衡
當你個資外洩時會發生什麼事?
為什麼身分安全應該成為零信任架構策略的核心
TXOne Networks 發表全新EdgeIPS Pro 216 聚焦中小型製造業
資安人科技網
文章推薦
台灣網路青年論壇: 從青年出發 – 建立以信任為基礎的網路環境
最擔心資料暴露!更完善的資安防護帶動企業 5G 專網部署
Perception Point榮獲SE Labs 的Email Security Service評測報告肯定