ESET advierte de que LinkedIn, con más de mil millones de usuarios, se ha transformado en una valiosa fuente de información para campañas de phishing, fraude y operaciones de inteligencia contra empresas y profesionales.
Información profesional al alcance de actores maliciosos
LinkedIn nació como una red para conectar profesionales y generar oportunidades laborales. Sin embargo, su alcance global la ha convertido también en un objetivo de creciente interés para cibercriminales y grupos de espionaje.
Según ESET, la información pública disponible en los perfiles permite identificar cargos, responsabilidades, jerarquías internas, proyectos en marcha y relaciones entre empleados y proveedores. Además, el entorno profesional aporta una capa adicional de credibilidad que favorece la interacción con mensajes directos o solicitudes de contacto.
Otro elemento relevante es que las comunicaciones dentro de la plataforma no pasan por los sistemas corporativos de correo, lo que limita la visibilidad de los departamentos de seguridad y facilita la llegada de enlaces maliciosos, archivos peligrosos o intentos de fraude directamente al usuario.
Campañas del grupo Lazarus y falsas ofertas
Entre los casos recientes documentados por los investigadores figura una campaña atribuida al grupo norcoreano Lazarus, que se hacía pasar por reclutadores para instalar malware en empresas del sector aeroespacial.
También se han detectado operaciones en las que falsos profesionales de IT intentaban ser contratados por compañías extranjeras. Josep Albors, director de investigación y concienciación de ESET España, señala que los actores maliciosos llevan años utilizando LinkedIn como herramienta para recopilar inteligencia corporativa y preparar ataques dirigidos contra empresas y perfiles de alto valor.
Principales amenazas detectadas
Los expertos de ESET identifican varias técnicas habituales. Entre ellas, el phishing y el spearphishing, con mensajes personalizados a partir de la información del perfil; los contactos con enlaces maliciosos o falsas ofertas de empleo para robar credenciales; y los fraudes BEC (Business Email Compromise), basados en el conocimiento de la estructura interna de la empresa.
También se han observado secuestros de cuentas mediante páginas falsas de inicio de sesión, infostealers o reutilización de contraseñas filtradas, así como ataques a proveedores para acceder a la organización objetivo. Incluso los vídeos publicados pueden utilizarse para generar deepfakes que refuercen campañas de ingeniería social.
Recomendaciones para reducir el riesgo
ESET recomienda limitar la información sensible que se comparte públicamente en el perfil profesional y desconfiar de mensajes inesperados que incluyan enlaces, archivos o propuestas especialmente atractivas.
Asimismo, aconseja verificar la identidad de reclutadores y nuevos contactos antes de interactuar, activar la autenticación multifactor y emplear contraseñas únicas y robustas. Mantener los dispositivos actualizados y protegidos con soluciones de seguridad, así como reforzar la formación en ciberseguridad en perfiles directivos, son otras de las medidas propuestas.
