AKTUÁLNE: Profesia.sk priznala bezpečnostný incident. Útočník sa mohol dostať k údajom zo životopisov používateľov
Používatelia portálu Profesia dostali varovný e-mail o bezpečnostnom incidente.
Ak máš uložený životopis na portáli Profesia, možno ti v posledných hodinách prišiel e-mail s nepríjemným upozornením. Spoločnosť totiž priznala bezpečnostný incident. Neznámy páchateľ sa podľa nej neoprávnene dostal do ich systému a vystupoval ako iný subjekt.
Na problém nás upozornil administrátor známej skupiny Stop podvodom: Verejná databáza skúseností, ktorý s nami zdieľal komunikáciu s Profesiou. Rovnaký e-mail však podľa komentárov viacerých ľudí dostali aj ďalší používatelia portálu. Informáciu o bezpečnostnom incidente sme si zároveň overili aj cez podporu chatu priamo na webe Profesia.
(aktualizované 16:30) S otázkami sme oslovili aj hovorkyňu spoločnosti. Po doručení jej vyjadrenia článok doplníme.
Medzičasom sa nám podarilo získať aj vyjadrenie spoločnosti Alma Career, ktorá prevádzkuje portál Profesia.sk. Firma však na konkrétne informácie bola skúpa. Uviedla len to, že používateľov, ktorých sa incident mohol týkať, kontaktovala a upozornila ich na možné zneužitie údajov. Spoločnosť zároveň potvrdila, že incident nahlásila Úradu na ochranu osobných údajov Slovenskej republiky a pripravuje aj trestné oznámenie.
Podrobnosti o rozsahu útoku ani o tom, akým spôsobom sa útočník dostal do systému, však spoločnosť nezverejnila.
Neprehliadni
„V rámci ochrany iných pracovných portálov a internetových stránok podobného typu nebudeme zverejňovať, ako k útoku došlo, aby sa iný potenciálny útočník neinšpiroval a neboli by tak neohrozené ďalšie portály a ich používatelia.“, uviedla Melcerová, PR manažérka spoločnosti.
Podľa dostupných informácií útočník konal podvodným spôsobom a zneužil identitu inej firmy. Profesia uvádza, že prístup do systému už zablokovala a incident začala preverovať.
„Nedávno sme zaznamenali bezpečnostný incident spočívajúci v neoprávnenom prístupe neznámeho páchateľa do nášho elektronického systému, ktorý konal podvodným spôsobom a vydával sa za iný subjekt, ktorého identitu zneužil,“ uvádza spoločnosť v oznámení.
Profesia zároveň tvrdí, že zatiaľ nemá potvrdené, že by útočník zneužil osobné údaje používateľov. Napriek tomu upozorňuje ľudí, ktorí majú na portáli uložený životopis, aby boli v najbližších dňoch opatrnejší.
„V závislosti od toho, aké údaje máte vo svojom životopise uvedené, by mohlo dôjsť k pokusom o ich zneužitie.“ uvádza spoločnosť v oznámení.
Aké údaje zo životopisu môžu byť pre útočníkov zaujímavé
Na portáli Profesia si môžeš nastaviť, aby tvoj životopis videli registrované firmy. V takýchto profiloch sa však často nachádzajú aj osobné údaje.
Typicky ide o meno, telefónne číslo, e-mail, pracovnú históriu alebo informácie o vzdelaní. Na prvý pohľad nejde o nič citlivé. Pre útočníkov však môžu mať tieto údaje veľkú hodnotu.
Samotná spoločnosť upozorňuje, že riziko závisí najmä od toho, aké informácie máš vo svojom životopise uvedené.
„V závislosti od toho, aké údaje máte vo svojom životopise uvedené, by mohlo dôjsť k pokusom o ich zneužitie,“ píše portál v oznámení.
Po incidente môžu prísť phishingové správy aj falošné pracovné ponuky
Jedným z najpravdepodobnejších rizík sú phishingové útoky. Útočníci môžu využiť údaje zo životopisu a osloviť ľudí správami, ktoré budú vyzerať ako legitímna pracovná ponuka.
Takéto e-maily sa často tvária ako komunikácia od zamestnávateľov alebo dokonca od samotného pracovného portálu. Ich cieľ je jednoduchý. Prinútiť človeka, aby prezradil ďalšie citlivé údaje, napríklad prihlasovacie údaje alebo finančné informácie.
„Útočníci Vám môžu zasielať e-maily alebo správy, ktoré sa tvária ako komunikácia od zamestnávateľov, portálu Profesia alebo iných dôveryhodných subjektov s cieľom získať ďalšie citlivé informácie,“ upozorňuje spoločnosť.
Objaviť sa môže aj nevyžiadaná komunikácia alebo falošné pracovné ponuky. Útočníci totiž môžu zneužiť kontaktné údaje uvedené v životopise a posielať správy, ktoré sa tvária ako pracovná ponuka, komunikácia od zamestnávateľa alebo rôzne marketingové ponuky.
Najhorší scenár je zneužitie identity
V niektorých prípadoch môže mať podobný incident aj vážnejšie následky. Ak životopis obsahuje viac osobných údajov, útočníci sa môžu pokúsiť o ich zneužitie. Takéto informácie sa totiž dajú využiť napríklad pri podvodných registráciách služieb alebo pri pokusoch vydávať sa za inú osobu.
„V závislosti od rozsahu údajov uvedených vo Vašom životopise by mohlo dôjsť k pokusom o zneužitie Vašej identity, napríklad pri zakladaní účtov alebo služieb,“ uvádza spoločnosť.
Podobné prípady nie sú vo svete kybernetickej kriminality ničím výnimočné. Útočníci totiž často kombinujú údaje z rôznych únikov dát a následne sa snažia vytvárať nové účty alebo získať prístup k rôznym službám.
Profesia odporúča zvýšenú opatrnosť pri e-mailoch a telefonátoch
Spoločnosť uvádza, že incident berie vážne a momentálne ho preveruje. Zároveň informovala, že prípad nahlási príslušným úradom.
„Ochrana osobných údajov našich používateľov je pre nás prioritou a incident berieme veľmi vážne,“ píše portál v oznámení.
Používateľom zároveň odporúča zvýšiť opatrnosť pri komunikácii.
Opatrnosť by mali venovať najmä podozrivým e-mailom, správam alebo telefonátom, ktoré sa môžu vydávať za komunikáciu od zamestnávateľov.
Podľa spoločnosti však prihlasovacie údaje do účtov na portáli Profesia neboli súčasťou incidentu.
„Prihlasovacie údaje do Vášho profilu na portáli Profesia nemusíte meniť, nakoľko ich sa útok netýka,“ uvádza spoločnosť.
Na prvý pohľad môže tento incident pôsobiť nenápadne. Skúsenosti z podobných prípadov však ukazujú, že aj menšie úniky údajov môžu byť pre útočníkov veľmi cenné. Stačí kombinácia mena, e-mailu a pracovnej histórie a phishingová správa môže zrazu pôsobiť oveľa dôveryhodnejšie.
