LinkedIn wzmacnia weryfikację fałszywych profili i historii pracy

Zmiany odpowiadają na problem, który stał się istotniejszy wraz z rozwojem generatywnej AI: przygotowanie przekonującego zdjęcia, życiorysu, opisu doświadczenia i wiadomości rekrutacyjnej jest dziś prostsze. Nie oznacza to jednak, że każdy fałszywy profil powstaje z użyciem AI ani że nowy znacznik weryfikacji potwierdza autentyczność każdej oferty.

Dla pracownika i kandydata najbezpieczniejsza zasada się nie zmienia: profil jest jednym z sygnałów, a nie końcem weryfikacji. Przed wysłaniem dokumentów, instalacją programu albo przejściem do logowania trzeba osobno sprawdzić pracodawcę, ofertę i kanał kontaktu.

Co dokładnie zmienia LinkedIn

W komunikacie z 23 września LinkedIn podał, że ponad 115 mln członków platformy przeszło już weryfikację tożsamości lub miejsca pracy. Firma rozwija ten system o sygnały dotyczące samej historii zawodowej oraz powiązania profilu z organizacją.

Pierwsza zmiana dotyczy potwierdzania doświadczenia przez osoby, które rzeczywiście pracowały lub studiowały z właścicielem profilu. Druga daje administratorom zweryfikowanych stron firmowych możliwość usuwania znanych kont podszywających się pod pracowników z wyników powiązanych z nazwą firmy. Trzecia jest pilotażem: wybrane organizacje mogą wymagać weryfikacji miejsca pracy od osób, które chcą wskazać aktualne zatrudnienie i połączyć profil ze stroną firmy.

LinkedIn rozszerza też program „Verified on LinkedIn”, który pozwala przenosić sygnał zweryfikowanej tożsamości do innych usług. W komunikacie wymieniono nowych partnerów Truecaller i PeerSpot obok wcześniejszych integracji, między innymi Adobe, TrustRadius i UserTesting.

Potwierdzenie historii pracy ma opierać się na zweryfikowanych kontaktach

Nowa funkcja nie jest kolejną rekomendacją zawodową. Jej cel jest węższy: potwierdzić, że dwie osoby rzeczywiście pracowały lub uczyły się razem w okresie wskazanym na profilu.

LinkedIn opisuje mechanizm jako test. Zweryfikowani użytkownicy mogą otrzymać prośbę o potwierdzenie wspólnego doświadczenia. Gdy profil zbierze wystarczającą liczbę potwierdzeń, platforma może dodać odpowiedni znacznik, a użytkownik ma możliwość z niego zrezygnować.

TechCrunch podał dodatkowe warunki mające ograniczać nadużycia: osoba potwierdzająca ma sama mieć zweryfikowany profil, być połączona z drugim użytkownikiem co najmniej od roku i korzystać z uwierzytelniania dwuskładnikowego.

Taki sygnał utrudnia stworzenie profilu wyłącznie z dobrze napisanym CV i wygenerowanym zdjęciem. Nadal nie mówi jednak, czy dana osoba jest kompetentna, godna zaufania ani czy wiadomość, którą właśnie wysłała, jest bezpieczna.

Firmy dostają większą kontrolę nad fałszywymi powiązaniami

Fałszywy rekruter lub pracownik nie musi przejmować konta prawdziwej osoby. Czasem wystarczy profil, który podaje znaną firmę jako aktualnego pracodawcę. Dla odbiorcy takie powiązanie może wyglądać jak dodatkowe potwierdzenie wiarygodności.

LinkedIn pozwala teraz administratorom zweryfikowanych stron firmowych usuwać znane konta podszywające się pod pracowników z wyników związanych z nazwą organizacji. To zmniejsza widoczność fałszywego powiązania, ale nie jest równoznaczne z usunięciem profilu z całej platformy.

Jeszcze dalej idzie pilotaż obowiązkowej weryfikacji miejsca pracy. Wybrane firmy mogą wymagać, aby osoba deklarująca aktualne zatrudnienie potwierdziła związek z organizacją, zanim profil zostanie powiązany z jej stroną. Jednym z możliwych sposobów jest weryfikacja przez firmowy adres e-mail.

Z perspektywy firmy to dodatkowa warstwa ochrony marki. Warto jednak traktować ją razem z procesem zgłaszania podszyć, monitorowaniem fałszywych ofert i jasnym opisem oficjalnych kanałów rekrutacyjnych.

Weryfikacja utrudnia podszycie, ale nie potwierdza całej oferty pracy

Nowe znaczniki zwiększają koszt stworzenia wiarygodnej historii zawodowej, ale nie rozwiązują każdego scenariusza oszustwa. Malwarebytes, firma zajmująca się bezpieczeństwem urządzeń i analizą zagrożeń, zwraca uwagę, że oszust może stworzyć również fikcyjną firmę, dopracowaną stronę organizacji i fałszywe oferty.

Ryzyko nie znika także wtedy, gdy profil był kiedyś prawdziwy. Konto może zostać przejęte, a wiarygodna historia zawodowa wykorzystana do kontaktu z kolejnymi osobami. Z tego powodu sam znacznik weryfikacji nie powinien być traktowany jako zgoda na wykonanie każdej prośby.

To istotne również przy phishingu rekrutacyjnym. Wcześniej opisywaliśmy kampanię, w której fałszywy rekruter i strona kariery prowadziły do podrobionego logowania Google. Nowe funkcje LinkedIn mogą pomóc ocenić część profilu, ale nie potwierdzają domeny końcowej strony, pliku do pobrania ani zasadności prośby o logowanie.

Podobnie materiał o tym, jak rozpoznać phishing na LinkedIn, pozostaje tłem dla prób przejęcia konta przez fałszywe powiadomienia. Nowy mechanizm weryfikacji profilu nie zastępuje oceny linku i kontekstu konkretnej wiadomości.

Co powinien sprawdzić kandydat przed rozmową z rekruterem

Najpierw sprawdź, czy oferta istnieje poza wiadomością. Otwórz samodzielnie serwis firmy i przejdź do sekcji karier. Jeżeli stanowiska nie ma, skontaktuj się z organizacją przez dane opublikowane na jej własnej stronie.

Następnie porównaj kanał kontaktu. Adres e-mail w domenie pracodawcy jest silniejszym sygnałem niż bezpłatna skrzynka lub podobnie wyglądająca domena, ale również nie zwalnia z oceny treści. Nietypowa prośba o instalację programu, przekazanie dokumentów tożsamości, zalogowanie się przez przesłany link albo natychmiastowe przeniesienie rozmowy poza platformę wymaga dodatkowego sprawdzenia.

Jeżeli profil ma sygnały weryfikacji, potraktuj je jako jeden element układanki. Sprawdź spójność historii zawodowej, związek rekrutera z firmą i to, czy opis procesu odpowiada informacjom podanym przez pracodawcę.

W przypadku atrakcyjnej oferty łatwo skupić się na tym, czy rekruter „wygląda prawdziwie”. Bezpieczniejsza decyzja polega na sprawdzeniu, czy profil, firma, oferta i kanał kontaktu potwierdzają tę samą historię niezależnie od siebie.

Co powinny zrobić firmy i zespoły HR

Firmy powinny wykorzystać nowe kontrolki tam, gdzie są dostępne, ale równolegle uporządkować własną komunikację. Wskazówki dla procesów kadrowych zbieramy też na stronie PHISHLY dla HR i rekrutacji. Kandydat powinien łatwo znaleźć informację, z jakich domen kontaktują się rekruterzy, gdzie publikowane są oferty oraz jak zgłosić podejrzany profil lub wiadomość.

Administratorzy strony firmowej na LinkedIn powinni mieć jasny sposób zgłaszania i obsługi fałszywych powiązań. Dział kadr lub zespół rekrutacyjny powinien wiedzieć, do kogo eskalować przypadek osoby podszywającej się pod pracownika lub rekrutera.

Dla organizacji istotny jest także drugi kierunek ryzyka: fałszywa tożsamość może próbować nie tylko oszukać kandydatów, ale również przejść proces zatrudnienia. Ten scenariusz opisujemy szerzej w materiale o fałszywych pracownikach IT i farmach laptopów. W takim przypadku sygnały z platformy zawodowej są pomocne, ale muszą być połączone z kontrolą tożsamości, procesu zatrudnienia i onboardingu.

Jak ćwiczyć ten scenariusz w security awareness

Ćwiczenie nie powinno sprowadzać się do pytania, czy profil ma znaczek. Lepszy scenariusz zaczyna się od wiarygodnego kontaktu rekrutacyjnego i sprawdza kolejne decyzje: czy uczestnik samodzielnie otworzy stronę firmy, znajdzie ofertę, porówna domenę i zatrzyma się przed instalacją narzędzia albo logowaniem przez nieoczekiwany link.

W testach phishingowych dla firm można mierzyć nie tylko kliknięcie, ale również to, czy pracownik wybiera niezależny kanał potwierdzenia i zgłasza próbę. W programie dla osób związanych z rekrutacją warto dodać osobne ćwiczenia dotyczące fałszywych kandydatów, zmian danych kontaktowych i podszywania się pod pracowników.

Takie szkolenie przygotowuje na zmianę jakości oszustw. Gdy zdjęcie, opis doświadczenia i wiadomość mogą być bardzo dopracowane, decyzja nie powinna zależeć od tego, czy profil wygląda profesjonalnie. Powinna zależeć od tego, czy kluczowe elementy da się potwierdzić poza kanałem, z którego przyszła prośba.

Co wynika z nowych funkcji LinkedIn

LinkedIn buduje więcej sygnałów wokół tożsamości i historii zawodowej: weryfikację użytkownika, weryfikację miejsca pracy, potwierdzenie wspólnego doświadczenia oraz kontrolę powiązań ze stroną firmy. To może utrudnić stworzenie fałszywego profilu, który przez długi czas wygląda jak zwykły pracownik lub rekruter.

Nie zmienia to podstawowego modelu obrony przed socjotechniką. Weryfikacja platformy mówi coś o profilu lub powiązaniu, ale nie zatwierdza każdej kolejnej wiadomości, oferty, domeny ani pliku.

Dlatego przy rekrutacji warto łączyć sygnały z LinkedIn z niezależnym sprawdzeniem pracodawcy i konkretnej oferty. Gdy te elementy się rozjeżdżają, proces należy zatrzymać i wyjaśnić przed przekazaniem danych lub wykonaniem instrukcji.