LinkedIn の新しいセキュリティ機能：偽プロフィールをチェックして詐欺を防ぐ

LinkedIn’s new security features combat fake profiles, threat actors

2022/10/26 BleepingComputer — LinkedIn は３つの新機能を導入し、偽プロフィールやプラットフォーム悪用に対抗していくという。それらの新機能には、認証された勤務先のＥメール／電話番号の有無により、プロフィールの正真性を確認するなどの、新たな手法が含まれている。この数年において、同サービスは脅威アクターたちに悪用され、マルウェアの配布／サイバースパイ活動／認証情報の窃盗／金融詐欺などの温床となっていた。

LinkedIn の悪用は、北朝鮮のハッキンググループ Lazarus により繰り返して実証されている。Lazarus は LinkedIn 上で、偽の仕事のオファーを介してターゲットにアプローチし、彼らのデバイスにマルウェアをインストールさせ、所属する企業ネットワークにアクセスしていく。それにより、数百万ドルの暗号通貨ハッキングにつながる可能性が引き起こしていく。

その一方で Google は、ロシアの SVR ハッカーが Safari のゼロデイ脆弱性を利用して、LinkedIn ユーザーを狙っていることを確認している。また、他の研究者たちにより、LinkedIn ユーザーを標的にすることで、Facebook ページのアカウントを盗み出すグループも発見されている。

最近では、Brian Krebs が、詐欺などの悪意の目的に使用されていると思われる、大量の偽 LinkedIn プロフィールについて報告している。

フェイク・アカウントとの戦い

今日の LinkedIn の発表によると、アカウントの真偽を確認するために、多様な情報提示／AI を使用した偽物の追跡／疑わしいメッセージを受信した際の警告などが、開始されたようだ。

LinkedIn における偽アカウント対策の第一歩は、新しいセクション About This Profile の導入である。それにより、プロフィールの作成日時／マイナンバー認証の有無／ビジネス・メール・リンクの有無などの情報が提供され、ユーザーたちに参照される。

したがって、サイバー犯罪者たちが LinkedIn の偽のアカウント作成し、ターゲットにアプローチするには、信頼を得るための情報の維持／運用において、現実的ではない時間が必要となる。また、なりすましで用いるビジネス・メールへのアクセスも不可能なため、脅威アクターのアカウントを本物として認証させることも困難になる。

続いて、プロフィール写真として AI で生成された画像を用いる偽アカウントを、詐欺行為の明らかな兆候であるとして AI で捕捉する。

LinkedIn のブログには、「我々のディープ・ラーニング・ベースの新モデルでは、顔認識や生体認証は行わない。それに換わる最先端の技術により、AI を用いた画像生成プロセスに伴う微妙な違和感を検出し、また、プロフィール写真のアップロードをプロアクティブにチェックすることで、画像の正真性を判断できる」と詳述されている。

また、LinkedIn には、メッセージのやりとりをプラットフォーム外に持ち出すことを、チャット参加者が提案した場合に、警告を表示する機能も追加された。

しかし、SNS 上で被害者に近づく巧妙な脅威アクターたちは、信頼関係を築いた後に、”より安全なプラットフォーム” への移行を提案するという手口を、さまざまな場面で用いる。こうした事例の大半において、被害者は IM クローンをダウンロードするよう誘導され、スパイウェアと通信アプリの改変版をインストールしてしまう。

また、最近の FBI が警告するものには、脅威アクターが SNS 上でユーザーと偽の関係を築き、それを利用して暗号通貨を盗む pig butchering 詐欺などがある。

新しく追加された一連の安全機能により、脅威アクターたちによる LinkedIn 悪用が阻止されるのかどうかは、時間が証明することになるだろう。しかし、LinkedIn が導入した標的型攻撃への対策により、いま以上にハッカーたち活動は困難になるはずだ。

リアルな仕事に使われる LinkedIn ですから、そこに記載されるプロフィールなどは、脅威アクターにとって格好の標的となります。その意味で、他の SNS とは一線を画す存在であり、これまでにも数多くの攻撃を受け、深刻な被害に遭遇してきました。最近のトピックとしては、4月19日の「LinkedIn ユーザーなりすましが急増：大量の実用的な情報を狙うハッカーたち」や、7月25日の「Facebook ページ担当者に迫る乗っ取りの脅威：LinkedIn での怪しい勧誘に御用心」、9月21日の「LinkedIn の Smart Link を悪用：セキュリティを回避するフィッシング攻撃に御用心」などがあります。よろしければ、LinkedIn で検索も、ご利用ください。