تقرير من TechRadar عن اختراق GovTech الذي سرّب 42 مليون وثيقة يتناول أيضاً عدة قواعد بيانات مكشوفة أخرى. تبرز حالتان. الأولى شركة تطوير ذكاء اصطناعي، Vibetech، جمعت بيانات من اختراقات سابقة وتركت بالخطأ ما يقرب من 14 مليون سجل متاحاً على الإنترنت. والأخرى خدمة بحث عكسي عن الصور والتحقق من الهوية كشفت أكثر من 9 ملايين صورة تعرف على الوجوه. وبالنظر إليهما معاً، يُظهر تسريب قاعدة بيانات شركة الذكاء الاصطناعي وانكشاف بيانات التعرف على الوجوه كيف يمكن للبيانات الشخصية أن تستمر في إحداث الضرر لفترة طويلة بعد الحادثة الأصلية.
ما احتوته قواعد البيانات المكشوفة
التفاصيل المنشورة حتى الآن محدودة، لذا يجدر التوخي الدقة بشأن ما هو معروف.
وفقاً للتقرير، شمل انكشاف Vibetech ما يقرب من 14 مليون سجل. وكانت الشركة قد جمعت البيانات من اختراقات مختلفة، ثم أصبحت متاحة على الإنترنت بالخطأ. أما حادثة GovTech الرئيسية فقد شملت 42 مليون وثيقة، من بينها آلاف وُصفت بأنها محمّلة بمعلومات شخصية.
أما الحالة الثالثة فقد تعلقت بصور الوجوه. أكثر من 9 ملايين صورة كُشفت بواسطة خدمة بحث عكسي عن الصور والتحقق من الهوية. تصف تغطيتنا السابقة لـتسريب ClarityCheck الذي كشف 9 ملايين صورة وجه كيف وجد باحث قاعدة بيانات سحابية غير مؤمّنة مرتبطة بالخدمة الأمريكية.
هذه حوادث منفصلة، لكنها تشترك في سبب واحد: بيانات مخزّنة في مكان كان يجب ألا يكون متاحاً فيه لأي شخص لديه اتصال بالإنترنت.
كيف تنتهي البيانات المجمّعة من الاختراقات على الإنترنت
حالة Vibetech مشكلة من نوع مختلف عن الاختراق النموذجي. لم يقتحم أحد بالضرورة. شركة جمعت معلومات من عدة اختراقات سابقة، ووضعتها في مكان واحد، ثم فشلت في تأمين ذلك المكان.
وهذا مهم لعدة أسباب:
- التسريبات القديمة تحصل على حياة ثانية. البيانات التي كانت مبعثرة عبر حوادث منفصلة تصبح أسهل في البحث والاستخدام بمجرد تجميعها في مجموعة واحدة.
- قد لا يعلم المتأثرون. إذا كانت بياناتك في اختراق سابق، فقد لا تعلم أبداً أن طرفاً ثالثاً جمعها ثم كشفها مرة أخرى.
- سوء الإعداد عطل متكرر. قواعد البيانات غير المؤمّنة، سواء كانت تخزيناً سحابياً أو منصات بحث، تظهر باستمرار في أبحاث الأمن. تضمّنت تغطيتنا لـ220 مليون سجل مسافر مكشوف في تسريب APIS الفيتنامي قاعدة بيانات Elasticsearch غير مؤمّنة، وهو نوع مشابه من الخطأ على نطاق مختلف جداً.
يمكن أيضاً لمجموعات البيانات المجمّعة أن تسهّل ربط أجزاء منفصلة من المعلومات بشخص واحد. عنوان بريد إلكتروني في اختراق ورقم هاتف في آخر أقل فائدة لمجرم من ملف واحد يحتوي كليهما.
لماذا يُعد تسريب قاعدة بيانات شركة ذكاء اصطناعي وبيانات التعرف على الوجوه خطراً دائمًا
معظم البيانات المسرّبة يمكن تغييرها. يمكنك إعادة تعيين كلمة مرور، أو إلغاء بطاقة، أو استبدال حساب. أما الوجه فلا يمكن استبداله.
عندما تُكشف صور الوجوه، لا سيما بواسطة خدمة مبنية حول البحث العكسي عن الصور والتحقق من الهوية، فقد تكون الصور مرتبطة بأسماء أو تفاصيل تعريفية أخرى. تشير تعليقات أمنية على حالة ClarityCheck إلى أن الخطر يتزايد عندما يدمج المجرمون صور الوجوه مع معلومات شخصية أخرى. وقد يدعم ذلك انتحال الهوية، أو فحوصات الهوية الاحتيالية، أو عمليات الاحتيال المستهدفة.
هناك أيضاً تأثير تراكمي. إذا كان بإمكان مجمّع مثل Vibetech جمع بيانات من اختراقات متعددة، فقد يحدث الشيء نفسه لمجموعة من الصور المسرّبة. انكشاف واحد يبدو محصوراً يمكن أن يتحول إلى جزء دائم من مجموعة البيانات التي يمكن للآخرين جمعها وإعادة استخدامها.
لا شيء من هذا يعني أن كل شخص في قاعدة بيانات مكشوفة سيصبح ضحية. لكنه يعني أن النصيحة المعتادة بتغيير كلمة المرور بعد الاختراق غير كافية عندما تكون البيانات المكشوفة بيومترية.
ماذا يعني هذا لك: الحد من تعرّضك
لا يمكنك التحكم في كيفية تخزين شركة لبيانات تحتفظ بها بالفعل، لكن يمكنك تقليل مقدار بياناتك الموجودة هناك ومدى فائدتها إذا انكشفت.
تحقق من تعرّضك. ابحث عن عناوين بريدك الإلكتروني وأرقام هاتفك في أداة موثوقة لإشعارات الاختراق. إذا ظهرت، فتعامل مع الحسابات المرتبطة بها على أنها مخترقة وغيّر كلمات مرورها، باستخدام كلمة مرور فريدة لكل حساب.
كن انتقائياً بشأن رفع البيانات البيومترية والهوية. قبل أن ترفع صورة سيلفي أو جواز سفر أو رخصة قيادة إلى خدمة تحقق، اسأل عما إذا كان ذلك مطلوباً حقاً. تحقق مما تقوله الشركة عن الاحتفاظ بالبيانات وحذفها. وحيث يوجد خيار، فضّل الأساليب التي لا تخزّن وجهك.
حدّ من الصور العامة. تعتمد خدمات البحث العكسي عن الصور وكشط البيانات على صور يسهل العثور عليها. تشديد إعدادات الخصوصية على الحسابات الاجتماعية وإزالة الصور العامة القديمة يقلل مما يمكن جمعه.
احترس من عمليات الاحتيال التابعة. غالباً ما تغذي التفاصيل الشخصية المسرّبة التصيد والانتحال وطلبات التحقق المزيفة. تعامل مع الرسائل غير المتوقعة التي تشير إلى تفاصيل شخصية دقيقة بمزيد من الحذر، وتأكد عبر قناة رسمية.
استخدم حماية قوية للحسابات. فعّل المصادقة متعددة العوامل حيث تتوفر، حتى تكون بيانات الاعتماد المكشوفة وحدها أقل فائدة. يمكن لشبكة VPN أن تحمي اتصالك من التجسس المحلي، لكنها لا تحمي البيانات التي خزّنتها شركة بالفعل وتركتها مكشوفة.
النقاط الرئيسية
الدرس الأوسع من تسريب قاعدة بيانات شركة الذكاء الاصطناعي هذا وانكشاف بيانات التعرف على الوجوه هو أن البيانات المخترقة لا تختفي. يمكن جمعها ودمجها وكشفها مرة أخرى، والوجه هو المعرّف الوحيد الذي لا يمكنك إعادة تعيينه.
- تحقق مما إذا كان بريدك الإلكتروني ورقم هاتفك يظهران في قواعد بيانات الاختراق المعروفة، وحدّث أي كلمات مرور متأثرة.
- شارك البيانات البيومترية ووثائق الهوية فقط عند الضرورة، وفضّل الخدمات ذات سياسات الحذف الواضحة.
- قلّل عدد الصور العامة المرتبطة باسمك.
- ابق يقظاً تجاه عمليات الاحتيال التي تستخدم تفاصيل شخصية حقيقية.
للحصول على مثال ملموس على ما هو على المحك، اقرأ تقريرنا عن تسريب صور الوجوه في ClarityCheck، ثم خصص بضع دقائق لمراجعة ما شاركته مع خدمات التحقق من الهوية.
