Голландский кадровик случайно поломал Linkedin и открыл вакансии главы сервиса и CEO Google

Ошибка в работе деловой социальной сети Linkedin позволила простому кадровику из Нидерландов создать вакансию директоров Google и самой Linkedin. Для этого ему не потребовалось особых знаний в области информационных технологий или связей в хакерских кругах.

Голландский HR-специалист Михел Рейндерс (Michel Rijnders) обнаружил баг в деловой социальной сети Linkedin. Ошибка позволяла подписчикам сервиса без соответствующих полномочий размещать вакансии от имени любой компании, причем бесплатно (обычно за это взымается плата). После несанкционированной публикации эти вакансии отображались на странице «Работа» вместе с другими официальными предложениями.

Для того, чтобы продемонстрировать наличие ошибки, Рейндерс опубликовал вакансии CEO (главного исполнительного директора) в Google и Linkedin, а также описал незатейливый механизм эксплуатации данной уязвимости на своей странице в социальной сети: для этого требовалось всего лишь указать название компании, от имени которой публикуется вакансия при ее создании. Стоит отметить, что поддельная вакансия главы Google появилась на страницах агрегатора предложений о работе Google Jobs, информацию для которого поисковая система автоматически собирает по всему интернету.

Кроме того, голландский рекрутер выразил обеспокоенность наличием в редакторе вакансий возможности указать сторонний веб-ресурс, на который будут перенаправляться кандидаты на предлагаемую должность, что, по его мнению, открывает широкие возможности перед мошенниками и структурами, заинтересованными в сборе персональных данных интернет-пользователей.

На запись Рейндерса обратил внимание специалист по информационной безопасности из Linkedin Пол Роквелл (Paul Rockwell). Он поблагодарил голландца за предоставленные сведения и сообщил о том, что вакансии, публикация которых стала возможна благодаря багу, удалены, а над исправлением уязвимости работают компетентные специалисты.

Представитель социальной сети объяснил, что возможность размещать вакансии от имени сторонних компаний сама по себе не является багом: данная функциональность предусмотрена платформой и может использоваться, к примеру, специалистами рекрутинговых агентств, но только по согласованию с компаниями, чьи интересы представляют эти агентства. Кроме того, по сл...