LinkedIn’deki sahte hesaplar: artık kapatılıyorsunuz

Sosyal ağlar arasında LinkedIn, özel bir konuma sahiptir. Platform, yeni insanlarla iletişim kurulan, kullanıcı bilgilerinin neredeyse tamamen şeffaf olduğu ve yabancılara yüksek derecede güven duymak gereken bir düzlemde profesyoneller arasında iletişim sağlamak için tasarlanmıştır.

Bunun dezavantajı, makul sahte profiller oluşturmanın görece kolay olmasıdır. Örneğin, 2022 sonbaharında güvenlik uzmanı Brian Krebs, çeşitli büyük uluslararası şirketlerin Bilgi Güvenliği Direktörlüğü Yetkililerine ait olduğu iddia edilen bir sürü sahte LinkedIn hesabını ortaya çıkardı. Ayrıca, gerçek bir işletmeyi iş ilanı açmış bir işveren olarak listeleyen birkaç bin sahte hesap saptandı.

Dolandırıcıların amaçları farklıdır. Ancak ortak noktaları, çalıştıklarını iddia ettikleri şirketlerin İK markasını veya itibarını hiçbir şekilde düşünmemeleridir. Bu göz önünde bulundurulduğunda şu iki soru akla geliyor: LinkedIn sahtekarlıklarından kurtulmak mümkün mü ve şirketinizin marka imajını nasıl koruyabilirsiniz?

LinkedIn sahte profillerle nasıl savaşıyor

LinkedIn’deki sahte profil sorunu yeni değil. LinkedIn sosyal ağı, her altı ayda bir, başka şeylerin yanı sıra kaç tane sahte hesabı engellediğini bildiriyor. Kesin rakamlar yıldan yıla değişiklik gösterse de her raporlama döneminde engellenen on milyonlarca profilden bahsediyoruz. Örneğin, 2019’un başından 2022’nin ortalarına kadar geçen sürede sosyal ağ yaklaşık 140 milyon sahte hesabı engelledi.

Çoğu sahte LinkedIn profili otomatik olarak engellenir (bunların %95,4’ü 2022’nin ilk yarısında engellendi). Çoğu zaman, sahte hesaplar henüz kayıt aşamasındayken ayıklanır: döneme bağlı olarak, bloke edilen hesapların %70–90’ı henüz aktive edilmeden kapatılır. Kullanıcı şikayeti nedeniyle engellenen sahte profiller, toplamın yüzde birden azını oluşturuyor. Bu hesapların ne kadar fazla sayıda olduğunu kesin olarak bilmek mümkün değil: örneğin, 2022’nin ilk yarısında gelen şikayetlerden sonra yalnızca 190.000 sahte hesap engellendi.

LinkedIn, şüpheli profilleri tam olarak nasıl tanımladığını açıklamasa hangi durumlarda müdahale gerçekleştirdiğiyle ilgili birkaç ipucu veriyor. Tehlike işaretlerinden biri aşırı miktarda mesaj gönderilmesidir. Bir diğeri coğrafi uyuşmazlıktır — profildeki ”Konum” bir bölgeyi gösterir, ancak hesap tamamen farklı bir bölgeye kayıtlıdır. Buna ek olarak, geçmişte tespit edilmiş ve engellenmiş diğer sahte sayfalarla ortak olan bazı özellikler taşıyan bir sayfa şüpheli olarak işaretlenebilir.

Geçen yılın sonlarında, LinkedIn sahte ürünlerle mücadele etmek için çeşitli yenilikler getirdi:

• LinkedIn artık AI tarafından oluşturulmuş olup olmadıklarını belirlemek için profil fotoğraflarını kontrol ediyor.
• Şüpheli mesajlarda artık uyarı veriliyor.
• Bir diğer yeni özellik ise “Bu profil hakkında” sekmesi. Kullanıcıların, bir hesabın güvenilir olup olmadığına karar vermelerine yardımcı olmak için hesabın yaklaşık kayıt tarihini ve diğer bilgilerini gösteriyor.

”Bu profil hakkında” sekmesini bulmak için kullanıcı sayfasının üst kısmındaki Diğer’e basın

Çalışıyor mu?

Peki, LinkedIn’in sahte profillerle mücadele önlemleri başarılı mı? Bunu öğrenmek için Wired dergisi küçük bir deney yaptı. İlk olarak, gazeteciler yapay zeka tarafından oluşturulan metinler ve fotoğraflarla doldurulmuş tamamen sahte iki profil oluşturdu. Ertesi gün, LinkedIn her iki kullanıcıdan da kimliklerini doğrulamalarını istedi ve sonunda hesapları engelledi.

Ardından, gazeteciler farklı bir yaklaşım denediler: Wired’ın kendi editörlerinden birinin profilinin eksiksiz bir kopyasını oluşturdular ve sadece profil fotoğrafını değiştirdiler (başka bir gerçek fotoğrafla). Ayrıca, girdikleri tek iletişim bilgisi, Proton Mail’e (anonimliğe değer veren kişiler arasında popüler olan şifreli bir web posta hizmeti) kayıtlı bir e-posta adresiydi. Bu sahte hesap, gazetecilerin kendileri tarafından silinmeden önce iki ay boyunca LinkedIn’de kaldı, mesajlar alıp gönderdi, yeni bağlantılar kurdu ve Wired içeriğini tanıttı.

Bundan nasıl bir sonuç çıkarmalıyız? Bu deney, LinkedIn’in basit sahte hesaplarla başa çıkmada oldukça iyi olduğunu gösteriyor. Ancak biraz zaman harcayan ve gerçek bir kişi hakkında gerçek bilgileri kullanarak daha inandırıcı bir sahte hesap oluşturmaya özen gösteren herkes, LinkedIn’in güvenlik önlemlerini kolaylıkla aşabilir.

Şirketinizin LinkedIn sayfasını sahte sayfalardan nasıl temizleyebilirsiniz?

Birileri, şirketinizin adını ve gerçek meslektaşlarınızın bilgilerini, kendi hain amaçları için kullanıyor olabilir. Bu nedenle, şirketinizin çalışan listesinden sahte profilleri silmek akıllıca olacaktır. Sorunun ölçeğini belirleyerek başlayın: Mevcut işverenleri olarak şirketinizi listeleyen LinkedIn profillerinin sayısını gerçek çalışan sayınızla karşılaştırın.

Ayrıca, coğrafi bir değerlendirme yapın: LinkedIn’e göre kaç çalışanınızın belirli bölgelerde listelendiğini görün ve bunu gerçek durumla karşılaştırın. Sahte profillerin, bulundukları lokasyon için dolandırıcıların kurban aradıkları belirli bir bölgeyi belirtme olasılığı çok yüksek olduğundan, buna dikkat etmek sahte profillerin nerede oluşturulduğunu tespit etmenize yardımcı olacaktır. Bu nedenle, çalıştıkları yer olarak şirketinizi gösteren sahte hesaplar muhtemelen dünya çapında eşit bir şekilde dağılmayacaktır (büyük olasılıkla bir veya birkaç bölgede yoğunlaşacaktır).

Sonraki adımlar, bu kontrollerin sonucuna ve şirketinizin genel büyüklüğüne bağlı olarak değişebilir. Nispeten az sayıda sahte hesap varsa ve bunları coğrafi olarak tespit etmeyi başardıysanız, birçoğunu tespit etmek ve bunları LinkedIn destek birimine bildirmek yeterince kolay olacaktır.

Sorun daha büyükse, üst düzey çalışanları taklit eden sahte profillere öncelik vererek bu hesapları silme işlemini yukarıdan aşağıya başlatmak mantıklı olacaktır. En basit yol, üst düzey yöneticilerin bir listesini almak ve LinkedIn profillerini ada göre aramak olacaktır. Kopyalar bulunursa, gerçek sayfa büyük olasılıkla kayıt tarihine göre sahte sayfadan ayırt edilebilir. Ayrıca, garip profil resimlerinin yanı sıra coğrafi uyumsuzluklara da dikkat edin.

Platform, örneğin tanıdık mavi rozetleri kullanıp kamuya mal olmuş kişilerin ve şirket yöneticilerinin hesaplarının doğrulanması yöntemiyle en azından üst düzeydeki sahtekarlıkları engelleyebilir. Ancak ne yazık ki LinkedIn, bu yöntemi Nisan 2023’ten önce tanıtmayı planlamadığını duyurdu. Doğrulama, ilk aşamada, yalnızca birkaç büyük ABD şirketi için test modunda kullanılabilecek. Diğer kuruluşların, ağ kullanıcılarının gerçekten kendi çalışanları olduğunu ne zaman teyit edebilecekleri belli değil.

Ayın karanlık yüzü: diğer şirketlerin sahte çalışanları

Sorunun başka bir yönü daha var: Dolandırıcılar, başka bir kuruluş için çalıştığını iddia eden kişilerin sahte LinkedIn profillerini kullanarak da çalışanlarınıza saldırabilir. Bunun nereye varabileceğine dair bir örnek için uzağa bakmanıza gerek yok: Daha geçen yıl bu tür bir saldırı, kazan-kazan oyunu Axie Infinity’nin geliştiricisi Sky Mavis’e karşı gerçekleştirildi.

Saldırganlar, sözde bir iş teklifiyle şirketin çalışanlarından biriyle LinkedIn aracılığıyla iletişime geçti. Daha sonra, bu çalışana virüslü bir PDF göndererek şirketin ağına eriştiler ve işlem doğrulama için kullanılan anahtarları çaldılar. Bu anahtarlarla şirketin kripto para hesaplarını temizlediler. Kayıp miktar 500 milyon dolardan fazlaydı ve bu olay tarihin en büyük kripto soygunlarından biri olarak anılmaya başlandı.

Kendinizi bu tür saldırılardan korumak kolay olmayabilir. Ancak, çalışanlarınızın bilgi güvenliği konusundaki farkındalığını artırmak kesinlikle büyük bir fark yaratabilir. Ve bunu yapmanın en iyi yolu düzenli siber güvenlik eğitimidir. Bunun için ideal çözüm, Kaspersky Otomatik Güvenlik Farkındalığı Platformu‘dur.