按 Enter 到主內容區
:::

TWCERT/CC台灣電腦網路危機處理暨協調中心

:::

求職社群網站 LinkedIn 遭發現漏洞,任何人均可冒名任何公司發布職缺訊息

發布日期:
字型大小:
  • 發布單位:TWCERT/CC
  • 更新日期:2021-08-20
  • 點閱次數:2751
求職社群網站 LinkedIn 遭發現漏洞,任何人均可冒名任何公司發布職缺訊息 TWCERT/CC

資安專家發現全球熱門求職求才社群網站 LinkedIn 的流程漏洞:任何人均可冒名任何公司張貼虛假求才訊息,不但能取得求職者的詳細資訊,也能夾帶各種惡意檔案。

資安專家 Herman Singh 近曰發現全球熱門求職求才社群網站 LinkedIn,在張貼職缺的流程中存有一個嚴重漏洞,導致任何人均可冒名任何公司張貼虛假求才訊息,不但能取得求職者的詳細資訊,也能夾帶各種惡意檔案,進一步發動各種駭侵攻擊。

據資安專業媒體 BleepingComputer 的測試,LinkedIn 在張貼求才職缺訊息的流程中,預設情形下並未限制僅能由求才公司所屬的帳號來張貼職缺訊息,因此任何人都能「代替」任何公司,在 LinkedIn 上張貼職缺;而且用這種方式張貼出來的職缺,看起來和被冒名公司開出的職缺,幾乎沒有差別。

資安專家指出,LinkedIn 在張貼職缺公告的這個漏洞,將可導致嚴重的資安風險;一來會有很多不知情的求職者,針對虛假的大公司熱門職缺投遞個人履歷,駭侵者可藉以收集大量求職者的機敏個資,包括姓名、性別、Email、照片、工作經歷、連絡方式等資訊,另外還可以在求職訊息中夾帶各式可用來進行駭侵攻擊的元件,例如植入惡意軟體的檔案、將求職者導向惡意網站,以發動釣魚攻擊的連結等等。

BleepingComputer 指出,在 LinkedIn 網站上,並未提供驗證張貼者真實資格的流程,也沒有選項可讓公司行號限制只有哪些帳號可以張貼連結;BleepingComputer 去函微軟公司旗下的 LinkedIn 資安團隊,也沒有得到具體的解釋。

資安專家建議各大公司的人資部門人員,在 LinkedIn 針對此問題提出解決方案前,應該提高警覺,定期巡查自己公司在 LinkedIn 上的相關內容,並且透過搜尋功能,檢視有無任何冒名張貼職缺的情況,發現後即刻回報 LinkedIn 進行處理。

回頁首