Plateforme incontournable du réseautage professionnel, LinkedIn constitue également une source de renseignement particulièrement précieuse pour les cybercriminels et les groupes de menaces étatiques. En novembre dernier, le service de renseignement britannique MI5 a alerté des parlementaires et leurs collaborateurs après l'identification de faux profils LinkedIn utilisés pour approcher des responsables politiques et collecter des informations sensibles. Cet incident illustre une tendance plus large : l'exploitation croissante de LinkedIn à des fins d'espionnage, de fraude et d'attaques ciblées. Cette menace ne se limite pas au Royaume-Uni. En France, la DGSI met également en garde contre des opérations d'approche menées via les réseaux sociaux professionnels. Ces campagnes reposent souvent sur de faux profils de recruteurs ou de consultants chargés d'identifier des collaborateurs disposant d'informations stratégiques, illustrant l'utilisation croissante de LinkedIn comme vecteur de collecte de renseignements et d'ingénierie sociale. Au-delà de ce type d'opérations, LinkedIn regorge d'informations publiques sur les entreprises, leurs collaborateurs et leurs activités. Ces données peuvent être utilisées pour préparer des campagnes de spearphishing, des fraudes au président (BEC) ou encore des attaques contre la chaîne d'approvisionnement. Les professionnels doivent donc considérer la plateforme non seulement comme un outil de networking, mais aussi comme une surface d'exposition potentielle.

Pourquoi LinkedIn attire-t-il autant les acteurs malveillants ?

  • Une mine de renseignements pour les attaquants. Les informations publiées sur les profils LinkedIn permettent d'identifier les rôles, responsabilités et relations hiérarchiques au sein d'une organisation. Les cybercriminels peuvent ainsi cartographier leur cible, repérer les nouveaux arrivants ou encore identifier les projets stratégiques en cours. Ces renseignements alimentent ensuite des campagnes d'ingénierie sociale ou de fraude particulièrement crédibles.
  • Un environnement perçu comme légitime. Les utilisateurs accordent généralement davantage leur confiance à un message reçu sur LinkedIn qu'à un courriel non sollicité. Cette crédibilité facilite les prises de contact malveillantes, notamment auprès des cadres dirigeants, souvent plus difficiles à atteindre par les canaux traditionnels.
  • Un contournement des contrôles de sécurité existants. Les échanges réalisés via LinkedIn échappent aux outils de sécurité déployés sur les infrastructures de messagerie de l'entreprise. Les équipes IT disposent donc de peu de visibilité sur les interactions qui s'y déroulent. Dans ce contexte, les campagnes de phishing, les liens malveillants ou les tentatives de diffusion de malware peuvent passer plus facilement sous les radars.
  • Un coût d'entrée très faible pour les attaquants. Créer un faux profil LinkedIn ne nécessite que quelques minutes. Les cybercriminels peuvent ensuite automatiser leurs approches à grande échelle ou usurper des identités crédibles en s'appuyant sur des comptes compromis. Les recruteurs, consultants ou candidats constituent ainsi des leurres particulièrement efficaces pour manipuler leurs cibles.

Les principales cybermenaces observées sur LinkedIn

  • Spearphishing ciblé : les informations disponibles sur les profils permettent aux attaquants de personnaliser leurs messages et d'augmenter les chances de succès de leurs campagnes d'hameçonnage.
  • Diffusion de liens et contenus malveillants : certains acteurs malveillants approchent directement leurs victimes via LinkedIn afin de diffuser des malwares, notamment des infostealers, ou de collecter des identifiants à travers de fausses offres d'emploi.
  • Fraude au président (BEC) : les informations relatives à l'organisation interne d'une entreprise, à ses partenaires ou à ses fournisseurs peuvent être exploitées pour concevoir des escroqueries BEC particulièrement convaincantes.
  • Création de deepfakes : les vidéos et contenus publiés sur LinkedIn peuvent servir à entraîner des modèles d'intelligence artificielle afin de produire des deepfakes utilisés dans des fraudes financières ou des campagnes de manipulation.
  • Compromission de comptes : le phishing, les infostealers ou encore le bourrage d'identifiants permettent aux cybercriminels de prendre le contrôle de comptes LinkedIn légitimes, qui seront ensuite utilisés pour cibler d'autres utilisateurs.
  • Attaques de la chaîne d'approvisionnement : les informations sur les partenaires et prestataires permettent d'identifier des points d'entrée indirects vers une organisation. Les cybercriminels peuvent alors viser les fournisseurs les moins protégés afin d'atteindre leur cible finale.

Quelques exemples de groupes de menace ayant recours à ces techniques

  • Lazarus : aligné sur les intérêts de la Corée du nord, ce groupe a utilisé de faux profils de recruteurs sur LinkedIn pour cibler des employés du secteur aérospatial et leur transmettre des fichiers piégés. ESET Research a également documenté plusieurs campagnes menées par des travailleurs informatiques liés à la Corée du Nord visant à obtenir un emploi dans des entreprises occidentales.
  • Scattered Spider : ce groupe a exploité les informations disponibles sur LinkedIn pour usurper l'identité d'un employé de MGM Resorts auprès du support informatique. L'intrusion qui a suivi s'est transformée en attaque par ransomware aux conséquences financières majeures.
  • Ducktail : cette campagne de spearphishing s'est concentrée sur les professionnels du marketing et des ressources humaines via LinkedIn. Les victimes étaient redirigées vers des charges malveillantes hébergées dans le cloud afin de dérober des informations sensibles.

Comment rester en sécurité sur LinkedIn ?

La principale difficulté pour les entreprises réside dans le manque de visibilité sur les interactions réalisées via LinkedIn. Les scénarios d'attaque liés aux réseaux sociaux professionnels devraient donc être intégrés aux programmes de sensibilisation à la cybersécurité.

Les collaborateurs doivent être encouragés à limiter la publication d'informations sensibles sur leurs profils, à vérifier l'authenticité des demandes de connexion et à se méfier des offres d'emploi ou des sollicitations inattendues.

Pour protéger leurs propres comptes, il est également recommandé d'appliquer régulièrement les mises à jour de sécurité, d'utiliser une solution de protection reconnue et d'activer l'authentification multifacteur. Une sensibilisation spécifique des dirigeants et des profils à forte visibilité peut également s'avérer pertinente, ces derniers constituant souvent des cibles prioritaires.

En matière de cybersécurité, la confiance ne doit jamais remplacer la vigilance. Même sur un réseau professionnel établi comme LinkedIn, chaque interaction mérite d'être vérifiée avant d'être considérée comme légitime.