LinkedIn 遭發現漏洞，任何人均可冒名任何公司發布職缺訊息

2021 / 08 / 23

編輯部

資安專家 Herman Singh 近曰發現全球熱門求職求才社群網站 LinkedIn，在張貼職缺的流程中存有一個嚴重漏洞，導致任何人均可冒名任何公司張貼虛假求才訊息，不但能取得求職者的詳細資訊，也能夾帶各種惡意檔案，進一步發動各種駭侵攻擊。

據資安專業媒體 BleepingComputer 的測試，LinkedIn 在張貼求才職缺訊息的流程中，預設情形下並未限制僅能由求才公司所屬的帳號來張貼職缺訊息，因此任何人都能「代替」任何公司，在 LinkedIn 上張貼職缺；而且用這種方式張貼出來的職缺，看起來和被冒名公司開出的職缺，幾乎沒有差別。

資安專家指出，LinkedIn 在張貼職缺公告的這個漏洞，將可導致嚴重的資安風險；一來會有很多不知情的求職者，針對虛假的大公司熱門職缺投遞個人履歷，駭侵者可藉以收集大量求職者的機敏個資，包括姓名、性別、Email、照片、工作經歷、連絡方式等資訊，另外還可以在求職訊息中夾帶各式可用來進行駭侵攻擊的元件，例如植入惡意軟體的檔案、將求職者導向惡意網站，以發動釣魚攻擊的連結等等。

BleepingComputer 指出，在 LinkedIn 網站上，並未提供驗證張貼者真實資格的流程，也沒有選項可讓公司行號限制只有哪些帳號可以張貼連結；BleepingComputer 去函微軟公司旗下的 LinkedIn 資安團隊，也沒有得到具體的解釋。

資安專家建議各大公司的人資部門人員，在 LinkedIn 針對此問題提出解決方案前，應該提高警覺，定期巡查自己公司在 LinkedIn 上的相關內容，並且透過搜尋功能，檢視有無任何冒名張貼職缺的情況，發現後即刻回報 LinkedIn 進行處理。

本文轉載自TWCERT/CC。

LinkedIn 釣魚攻擊