LinkedIn: Nutzerdatensätze weiterhin verfügbar, API-Missbrauch dementiert

Ein Verkaufsangebot mit Daten von über 700 Millionen – und damit nahezu allen – Nutzern der Plattform LinkedIn, das bereits seit Anfang vergangener Woche in einem Hackerforum steht, ist weiterhin aktiv. Das zeigte eine Kontaktaufnahme durch heise Security mit dem Verkäufer "Tom Liner" am heutigen Mittwoch: Für 5000 US-Dollar als Verhandlungsbasis bietet er nach wie vor Informationen über LinkedIn-Nutzer an, von denen längst nicht alle öffentlich auf den Nutzerprofilen einsehbar sind.

In einem offiziellen Statement hat LinkedIn derweil ein Leak im klassischen Sinne ebenso dementiert wie mögliche Schwachstellen in einem LinkedIn-API. Die Daten seien lediglich durch sogenanntes "Scraping" von den öffentlichen Nutzerprofilen gesammelt worden. Sämtliche nicht-öffentlich einsehbare Daten im Angebot sollen demnach aus anderen Quellen stammen.

Eine ausführliche Meldung zu dem Vorfall hat heise Security bereits am gestrigen Dienstag veröffentlicht. Unter anderem hatten wir in diesem Zusammenhang auch eine von Tom Liner veröffentlichte "Kostprobe" mit über 400 Nutzerdatensätzen unter die Lupe genommen, die unter anderem vollständige Namen, E-Mail- und Postadressen, Standortdaten, Telefonnummern enthielten sowie LinkedIn-Nutzernamen und Profil-URLs sowie Angaben zu Geschlecht, persönlichem und beruflichem Werdegang und weiteren Social-Media-Accounts der jeweiligen Nutzer.

Offizielle Statements: Kein Datenleck, kein API-Zugriff

Kurz nach Veröffentlichung der ersten Meldung hatte LinkedIn in einem ersten deutschsprachigen Statement beteuert, dass die in Tom Liners Angebot enthaltenen, bei LinkedIn nicht-öffentlichen Daten nicht von der Plattform, sondern aus anderen Quellen stammen. Am heutigen Mittwoch hat ein LinkedIn-Sprecher gegenüber heise Security nochmals betont, dass es sich nicht um ein Datenleck (zumindest nicht bei LinkedIn) handle, sondern um "eine Anhäufung von Daten, die aus zahlreichen Quellen stammen, einschließlich einiger Daten, die von LinkedIn abgegriffen wurden". Er verwies zusätzlich auch auf ein öffentlich verfügbares englischsprachiges LinkedIn-Statement.

Gegenüber dem Team der Plattform "RestorePrivacy" hatte TomLiner angegeben, ein LinkedIn-API missbräuchlich angezapft zu haben, um nach Daten zu crawlen, die Nutzer des Netzwerks hochgeladen hätten. Dies könne nicht sein, betonte der LinkedIn-Sprecher auf Nachfrage: "LinkedIn verfügt über keine API, die all diese Arten von Daten liefern könnte. Wir haben durch eine Stichprobenanalyse verifiziert, dass mehrere spezifische Felder wie Telefonnummer, Geschlecht, abgeleitetes Gehalt und physische Adresse in diesem Datensatz nicht von LinkedIn stammen."

(ovw)