Naukri ha rivelato gli indirizzi email dei reclutatori, afferma un ricercatore

Naukri.com , un popolare sito web indiano per l'impiego, ha corretto un bug che esponeva gli indirizzi email dei reclutatori che utilizzavano la sua piattaforma per cercare e assumere talenti online.

Il problema, scoperto dal ricercatore di sicurezza Lohith Gowda, ha interessato l'API utilizzata da Naukri sulle sue app Android e iOS. L'API ha rivelato gli indirizzi email dei recruiter che visitavano i profili di potenziali candidati sulla piattaforma di Naukri. Il problema non sembra aver interessato il sito web dell'azienda.

"Gli ID email dei reclutatori esposti possono essere utilizzati per attacchi di phishing mirati e i reclutatori potrebbero ricevere una quantità eccessiva di email indesiderate e spam", ha detto Gowda a TechCrunch.

Ha aggiunto che gli ID e-mail esposti potrebbero essere aggiunti a database pubblici di violazioni o a liste di spam, mentre l'acquisizione in massa di indirizzi e-mail potrebbe dare luogo ad abusi automatizzati di bot o a truffe.

TechCrunch ha verificato l'esposizione dopo che il ricercatore ha condiviso i dettagli del bug. Il ricercatore ha confermato a TechCrunch che il problema è stato risolto all'inizio di questa settimana, confermata da Naukri venerdì.

"Tutti i miglioramenti identificati sono stati implementati, garantendo che i nostri sistemi rimangano aggiornati e resilienti", ha dichiarato via email a TechCrunch Alok Vij, responsabile dell'infrastruttura IT di InfoEdge, la società madre di Naukri. "I nostri team non hanno rilevato alcuna attività abituale che comprometta l'integrità dei dati degli utenti".

Fondato nel marzo 1997, Naukri.com è il sito web di reclutamento più importante in India, che aiuta a mettere in contatto recruiter, datori di lavoro e persone in cerca di lavoro. Oltre che in India, il sito è presente in Medio Oriente con il nome di Naukrigulf.com.

"Alcune caratteristiche dei profili dei nostri recruiter sono progettate per essere pubbliche, in modo che gli utenti possano sapere chi ha accesso ai loro profili. Effettuiamo regolarmente audit e valutazioni della sicurezza", ha affermato Vij.