Egy védtelen Talentsconnect-adatbázis több mint 5 millió álláshirdetéshez kapcsolódó toborzási adatokat tett hozzáférhetővé – derül ki új beszámolókból. Az adatbázis állítólag 843 vállalat toborzási rekordjait, valamint nagyvállalatok – köztük a Siemens és a Vodafone – élő hitelesítő adatait tartalmazta. Az eset rávilágít a toborzástechnológiai szektor visszatérő problémájára: az érzékeny munkaerő-felvételi adatokat gyakran sokkal gyengébb védelemmel tárolják, mint amit a bennük szereplő személyes információk indokolnának.

Mi került nyilvánosságra a Talentsconnect adatszivárgásban

A Talentsconnect adatbázisa védelem nélkül, hitelesítés nélkül hozzáférhető maradt, így a kutatók több száz vállalathoz kapcsolódó álláshirdetéseket, toborzási rekordokat és hitelesítő adatokat láthattak. Az érintett szervezetek között Fortune 500-as szintű cégek is voltak; a Siemens és a Vodafone kifejezetten úgy szerepel, mint amelyeknek élő hitelesítő adatai kerültek nyilvánosságra a szivárgásban. Az élő hitelesítő adatok különösen aggasztóak, mert a statikus személyes adatokkal ellentétben rossz kezekbe kerülve azonnal felhasználhatók lehetnek belső rendszerek elérésére, mielőtt az adatszivárgást megszüntetnék.

A méret – 843 cég és több mint 5 millió álláshirdetés – ezt a szivárgást a közelmúltban címlapokra került más nagy volumenű adatszivárgásokkal azonos kategóriába helyezi. Rávilágít arra is, hogy egyetlen rosszul konfigurált adatbázis milyen tovagyűrűző hatással lehet nagyszámú, egymástól független szervezetre, amelyek egyszerűen ugyanazt a toborzási platformot vagy szolgáltatót használták.

Miért egyre gyakoribb célpont a toborzási adat

A HR- és toborzási platformok a vállalati és a személyes adatok szokatlan metszéspontjában helyezkednek el. Önéletrajzokat, elérhetőségeket, munkatörténeteket, sőt néha akár háttérellenőrzési információkat is tárolnak, miközben a platformot használó cégek hitelesítő adatait és belső rekordjait is kezelik. Ez a kombináció teszi a toborzási adatbázisokat vonzó célponttá: egyetlen adatvédelmi incidens egyszerre fedheti fel az álláskeresők személyes adatait és egy vállalat belső hozzáférési hitelesítőit.

Ez nem egyedi minta. Hasonló dinamika játszódott le a francia e-mail-szolgáltató szivárgása 40 millió rekordot érint esetében is, ahol egy szolgáltató adatszivárgása végül számos vállalati és kormányzati ügyfelet érintett, nem csupán magát a szolgáltatót. A Talentsconnect-ügy ugyanezt a mintát követi: egy harmadik fél platformjának biztonsági hiányossága minden olyan vállalat számára felelősségi kockázattá válik, amely érzékeny adatokat bízott rá.

A védtelen vagy rosszul konfigurált adatbázisok által előidézett nagymennyiségű személyes és vállalati adatszivárgás szélesebb trendje olyan esetekben is megmutatkozott, mint az Aura adatszivárgás 900 000 kapcsolati rekordot érint vagy az ExfilSquad szivárgás, amely az Analog Devices ügyfél-PII-adatait fedte fel. Mindkettőben érzékeny kapcsolati és ügyfélinformációk váltak hozzáférhetővé azokon a rendszereken kívül, amelyeknek védeniük kellett volna őket. Ezek az incidensek – bár okuk eltérő – közös tanulságot hordoznak: a hitelesítést igénylő adatok nyitva maradtak, gyakran a felfedezésük előtt a kelleténél hosszabb ideig.

A Fortune 500-as szempont: miért más ez a nagy nevek miatt

A Talentsconnect-szivárgást sok rutinszerű adatbázis-adatszivárgástól az különbözteti meg, hogy globálisan ismert vállalatokhoz tartozó élő hitelesítő adatok is előkerültek. A Siemens és a Vodafone nem kisvállalkozás, amely éppen egy új HR-eszközt próbál ki; hatalmas, multinacionális szervezetek, kiterjedt belső hálózatokkal. Amikor ekkora cégekhez kötött hitelesítő adatok jelennek meg egy nyilvánosságra került adatbázisban, a lehetséges kockázat messze túlmutat azokon az álláskeresőkön, akiknek az önéletrajza a rendszerben volt. Kérdéseket vet fel a beszállítók biztonsági átvilágításával kapcsolatban, és azzal kapcsolatban is, hogy a nagyvállalatok valójában mennyire látnak rá a felvételi folyamataikat kezelő külső platformokra.

Mit jelent ez Önnek?

Ha olyan vállalathoz adott be álláspályázatot, amely a Talentsconnectet használta felvételi folyamatához, előfordulhat, hogy az önéletrajza, elérhetőségei vagy pályázati adatai szerepeltek a kiszivárgott adatbázisban. Az álláskeresők legyenek óvatosak az álláspályázatokra hivatkozó váratlan e-mailekkel vagy hívásokkal szemben, különösen akkor, ha további személyes vagy pénzügyi adatokat kérnek, mivel a kiszivárgott toborzási adatokat célzott adathalász kísérletekhez is felhasználhatják.

A 843 érintett cég bármelyikének munkavállalói – különösen a Siemenstől, a Vodafone-tól vagy más megnevezett szervezetektől – figyeljék a szokatlan fióktevékenységeket, mivel a kiszivárgott hitelesítő adatokat a támadók néha újra felhasználhatják arra, hogy belső rendszerekhez férjenek hozzá, mielőtt a jelszavakat lecserélnék.

Gyakorlati teendők

Ha úgy gondolja, hogy érintheti a Talentsconnect-szivárgás, fontolja meg az alábbi lépéseket:

  • Figyelje e-mailjeit és telefonját, nem kért üzeneteket keresve, amelyek álláspályázatokra vagy toborzásra hivatkoznak, különösen, ha érzékeny adatokat kérnek.
  • Használjon egyedi jelszavakat az állásportálokon és toborzási oldalakon, és ne használja ugyanazokat a hitelesítő adatokat több szolgáltatásban.
  • Kapcsolja be a többtényezős hitelesítést mindenhol, ahol elérhető, különösen az e-mail- és szakmai fiókoknál, amelyek álláspályázatokhoz kapcsolódhatnak.
  • A megnevezett vállalatok munkavállalói kövessék a hitelesítő adatok visszaállítására vonatkozó belső útmutatásokat, és legyenek éberek a szivárgásra hivatkozó adathalász kísérletekkel szemben.

Miközben a toborzási platformok egyre nagyobb mennyiségű érzékeny személyes és vállalati adatot kezelnek, a Talentsconnect-szivárgáshoz hasonló incidensek emlékeztetnek arra, hogy az alapvető adatbázis-biztonság, a hitelesítés és a hozzáférés-szabályozás továbbra is az első védelmi vonalat jelenti az olyan adatszivárgások ellen, amelyek egyszerre emberek millióit és vállalatok százait érinthetik.