Für Unternehmen sind Social-Media-Plattformen wie LinkedIn oft unverzichtbar, jedoch gleichzeitig auch ein hohes Risiko.
Auch ich nutze LinkedIn sowie verschiedene andere Social-Media-Kanäle.
Das mache ich natürlich nur, weil ich selber mein bester Datenschutzbeauftragter bin und mir die Risiken dabei durchweg bewusst sind.
Dennoch ist es unvermeidlich, ständig die Aktivitäten der einzelnen Anbieter:innen bzw. deren Sicherheitsverfahren im Blick zu behalten.
So sind nun in einem Untergrundforum Daten von rund 700 Millionen Nutzer:innen feilgeboten.
Dies sind immerhin 200 Millionen mehr als bei einem ähnlichen Vorfall im April diesen Jahres.
Das Team der Plattform RestorePrivacy hat in einem bekannten Hackerforum einen Beitrag entdeckt, in dem seit Anfang vergangener Woche personenbezogene Daten von rund 700 Millionen – und damit von fast allen – Nutzer:innen des Netzwerks zum Kauf angeboten werden.
Eine von dem Team analysierte “Kostprobe” mit einer Million Datensätzen habe sich als authentisch erwiesen, heißt es im RestorePrivacy-Blog.
Wie die Daten in die Hände des unter dem Pseudonym “TomLiner” auftretenden Verkäufers gelangten, ist unklar.
93 Prozent der Nutzer:innen potenziell betroffen.
Einer Stichprobe durch heise Security sowie einem Blogeintrag von RestorePrivacy zufolge, enthält das Leak LinkedIn-Nutzerdatensätze mit vollständigen Namen, E‑Mail- und Postadressen, Standortdaten, Telefonnummnern, LinkedIn-Nutzernamen und Profil-URLs.
Angaben zu Geschlecht, persönlichem und beruflichem Werdegang und weiteren Social-Media-Accounts der jeweiligen Nutzer:innen seien ebenfalls betroffen.
Sofern der Verkäufer tatsächlich im Besitz von insgesamt 700 Millionen Datensätzen wäre, entspräche dies fast 93 Prozent aller Nutzer:innen.
Eigenen Statistiken zufolge nutzen derzeit weltweit rund 756 Millionen Menschen das soziale Netzwerk für den Business-Bereich.
Festzuhalten ist, dass lediglich ein Bruchteil der Daten öffentlich – genauer: gegen acht “Credits” der internen Forumswährung – einsehbar und stichprobenartig auf Echtheit geprüft ist.
Somit lässt sich keinerlei Einschätzung zu Echtheit oder “Qualität” der übrigen Daten treffen.
Das aktuelle Verkaufsangebot steht im selben Forum wie eine ähnliche LinkedIn-Datensammlung, die bereits Anfang April dieses Jahres zum Kauf angeboten wurde.
Das damalige Leak enthielt laut Angaben des Verkäufers – der übrigens ein anderes Profil nutzte als jenes beim aktuellen Angebot – Daten von rund 500 Millionen LinkedIn-Nutzer:innen.
Der damalige Verkäufer hatte für die 500 Millionen Datensätze einen zu verhandelnden Betrag “mindestens im vierstelligen Bereich” verlangt; im Falle des aktuellen Leaks und Postings fehlt eine solche Angabe. Der Preis ist offenbar Verhandlungssache.
Nachbesserungsbedarf bei der LinkedIn-API?
Gegenüber RestorePrivacy gab der aktuelle Verkäufer TomLine an, die LinkedIn-API missbräuchlich angezapft zu haben, um nach Daten zu crawlen, die Nutzer:innen des Netzwerks hochgeladen hätten. Von einem Datenleck im herkömmlichen Sinne ist also wohl nicht auszugehen. LinkedIn selbst hat sich zu den aktuellen Geschehnissen noch nicht geäußert.
Nach dem Vorfall im April hatte das Unternehmen mitgeteilt, dass
“öffentlich einsehbare Informationen (…) von LinkedIn abgegriffen und mit Daten von anderen Websites oder Unternehmen kombiniert” worden seien.
LinkedIn
Demnach hat es sich zumindest damals also um bloßes “Scraping” öffentlich verfügbarer Daten gehandelt, die anschließend mit nicht-öffentlichen Daten (damals unter anderem Telefonnummern und E‑Mail-Adressen) kombiniert wurden.
Die Angaben des aktuellen Verkäufers könnte allerdings Anlass zu Spekulationen über Angriffsmöglichkeiten auf die LinkedIn-API geben.
Denn natürlich sollte es grundsätzlich weder möglich sein, über eine API unberechtigt Nutzerdaten abzugreifen noch ohne besondere Zugriffsrechte nicht-öffentliche Daten wie E‑Mail-Adressen oder Telefonnummern einzusehen.
Vorfall fußt laut LinkedIn abermals auf Scraping.
Dazu wurde das folgende Statement abgegeben:
“Aktuell ist die Untersuchung des Vorfalls noch nicht abgeschlossen. Jedoch scheint der veröffentlichte Datensatz ausschließlich öffentlich einsehbare Informationen zu enthalten, die von LinkedIn abgegriffen und mit Daten anderer Quellen kombiniert wurden. Es handelt sich nicht um ein LinkedIn Datenleck und unsere Untersuchung hat ergeben, dass keine privaten Mitgliederdaten von LinkedIn veröffentlicht wurden. Dieses sogenannte Scraping von Mitgliederdaten verstößt gegen unsere Nutzungsbedingungen und wir arbeiten ständig daran, unsere Mitglieder und ihre Daten zu schützen.”
Statement von LinkedIn
Der Wortlaut dieses Statements ist identisch mit dem vom Vorfall im April.
Auf die Nachfrage bezüglich API-Angriffsmöglichkeiten ging das Unternehmen nicht ein.
Wie anfangs erwähnt, nutze auch ich LinkedIn.
Hier erreiche ich Personen, welche ich auf anderen Kanälen schwer oder gar nicht erreiche.
Dabei ist natürlich der Zweck sowie die Art der Vernetzung durchaus eine andere.
Doch wie es oft ist: fast alles ist machbar, aber nicht alles ist sinnvoll.
Also lassen Sie sich gut beraten.
1 Kommentar