Security (b)log: LinkedOut

Een collega vroeg mij: “Waarom heb ik dit contactverzoek via LinkedIn wel gehonoreerd en dat andere niet?” Je eerste reactie is waarschijnlijk dat hij dat zelf toch het beste zou moeten weten. Maar laat ik je wat meer context verschaffen. De collega kende geen van beide personen. Een gezonde basishouding is dan om een verzoek af te wijzen; social engineers grijpen ook graag dit soort bronnen aan om een aanval tegen jou – of tegen een van jou kennissen – op touw te zetten.

Nu was de afgewezen persoon een man, strak in het pak, zwart haar en dito hangsnor en voorzien van een Verweggistaanse naam. Zijn nogal ruime functieomschrijving luidde “global trade and customs affairs”. Hij was al vriendjes met zes mensen die ook in de contactenlijst van de collega stonden. De ander was een vrouw, blond, jonger dan mijn collega en ze had een Nederlandse naam. Ze woonde echter in Australië en was “risk consultant of the year 2017”.

De vraag van mijn collega was in zoverre retorisch dat hij zelf ook wel wist dat uiterlijk en sexe hadden bepaald op welke knop hij klikte. Maar toch zit er meer achter. Waarom accepteren we nieuwe “vrienden” zonder hen te kennen? En natuurlijk de vraag: wat doet dat met onze veiligheid?

Eerst maar eens aan een van de gezamenlijke contacten van kandidaat nummer één gevraagd waar hij die meneer van kende. “Wie?”, reageerde hij naar verwachting. Hij begon zich wat ongemakkelijk te voelen, want beveiligers stellen dat soort vragen nooit zomaar. “O, eh, ja, die zal ik wel bij Gartner of een andere conferentie ontmoet hebben.” Oké, dat is op zich een geldige reden, al kwam het niet erg overtuigend over. In mijn eigen LinkedIn-profiel staat dat je mij eerst in het echt moet hebben ontmoet voordat je vriendjes mag worden. Een vluchtig gesprek tijdens een conferentie vind ik dan nog wat dunnetjes, zeker als de persoon in kwestie daar namens zijn werkgever op de bijbehorende beurs staat.

Als een contactverzoek wordt verzonden, dan is LinkedIn er als de kippen bij om te melden wie je als gemeenschappelijke vrienden hebt. Op die manier proberen ze om je over de streep te trekken, zo lijkt het wel. Zoals ze ook wildvreemden – of vermeende kennissen – voorstellen als contacten die je zou moeten willen hebben.

Vroeger was ik ook zo. Ha leuk, een connectieverzoek, goed voor de omvang van mijn netwerk! Zo kwam ook een of andere buitenlander in mijn netwerk terecht. Kort daarna begon hij met me aan te pappen. Hij vertelde dat hij een paar jaar geleden voor ons had gewerkt, aan dat-en-dat project. Hij was razend benieuwd hoe het daar nu mee ging. Of ik hem misschien wat informatie kon verschaffen? Nou, nee dus. Natuurlijk niet! Ik ga toch zeker geen informatie delen met wildvreemden? De truc is natuurlijk dat je zogenaamd geen vreemden voor elkaar bent, je bent immers via LinkedIn aan elkaar gekoppeld! Het aanvoeren van iets gemeenschappelijks (zoals voor jouw organisatie gewerkt hebben) is immers een van de standaardtrucs uit het repertoire van de social engineer. Misschien ben jij helemaal niet zelf zijn doelwit, maar iemand in jouw netwerk. Die krijgt vervolgens ook een connectieverzoek en ziet dan jij al vriendjes bent met die persoon. En dan zal het vast wel goed zijn...

Kortom, door Jan en alleman zomaar te accepteren kun je niet alleen jezelf en je werkgever schaden, maar ook je (echte) kennissen. Zelf hanteer ik daarom zoals gezegd de regel dat ik geen contacten accepteer die ik niet al in het echte leven ken. Ik maak nog wel een uitzondering voor collega’s, maar dan controleer ik wel altijd even of zo iemand ook écht bij ons werkt (een nep-account is op social media immers zó gemaakt). Soms is de verleiding groot om iemand toch te accepteren omdat hij een interessant profiel heeft. Of omdat ik denk dat iemand contact wil leggen om vooral geen blog te missen. Maar ach, ik weet mijn ego redelijk in bedwang te houden.

Je kunt nog altijd de straattest doen. Stel je voor dat zo’n persoon je op straat zou aanklampen. Zou je hem of haar dan ook vertellen wie je bent, wat je doet, wat je professionele en opleidingsachtergrond is en nog een heleboel meer? Voor mijn collega kom ik dan ook tot het onvermijdelijke advies: ontlink die knappe blondine.