كشف ضخم لبيانات القياسات الحيوية يظهر إلى العلن

كشف باحث في الأمن السيبراني عن قاعدة بيانات سحابية غير محمية تحتوي على أكثر من 9 ملايين صورة وجهية مرتبطة بخدمة ClarityCheck، وهي خدمة أمريكية للبحث العكسي عن الصور والتحقق من الهوية. وفقًا للتقارير حول هذا الاكتشاف، وجد الباحث جيرميا فاولر قاعدة البيانات المكشوفة بحجم يبلغ حوالي 450.2 جيجابايت، وتحتوي على ما يقدر بـ 9,042,977 صورة وجهية بالإضافة إلى بيانات ملفات شخصية مرتبطة بها.

تُركت قاعدة البيانات دون تشفير وبدون حماية بكلمة مرور، مما يعني أن أي شخص يصادفها عبر الإنترنت يمكنه الوصول إلى السجلات البيومترية الموجودة بداخلها. وبما أن نموذج أعمال ClarityCheck يرتكز على التحقق من الهوية ومطابقة الوجوه عبر الويب، فمن المرجح أن البيانات المكشوفة تضمنت ليس فقط صورًا خام ولكن أيضًا معلومات شخصية مرتبطة بهويات حقيقية، مما يرفع المخاطر بشكل كبير مقارنة بتسريب نموذجي لكلمات المرور أو البريد الإلكتروني.

لماذا تستمر قواعد البيانات غير المضبوطة في التسبب بتسريبات هائلة

هذه الحادثة تندرج ضمن نمط أصبح شائعًا بشكل مقلق في عالم أمن البيانات: قاعدة بيانات سحابية غير مضبوطة وغير محمية. فمع تزايد اعتماد الشركات على التخزين السحابي لاستضافة بيانات حساسة حول الموظفين والشركاء والعملاء، غالبًا ما تأتي سهولة الوصول والتكامل مع أدوات ذكاء الأعمال على حساب التكوين الأمني السليم. قاعدة البيانات التي تُترك مفتوحة دون متطلبات مصادقة هي في الواقع علنية، بغض النظر عن مدى حساسية محتوياتها.

ما يجعل هذا الكشف ملحوظًا بشكل خاص هو طبيعة البيانات المعنية. يمكن إعادة تعيين كلمات المرور. يمكن إلغاء أرقام بطاقات الائتمان وإصدارها من جديد. لكن الصورة الوجهية دائمة. بمجرد تعرض بيانات بيومترية مثل هذه للكشف، لا توجد طريقة لتغيير وجهك كما قد تغير كلمة مرور مخترقة. هذه الديمومة هي ما يميز تسريبات التعرف على الوجوه عن اختراقات بيانات الاعتماد الأكثر شيوعًا، وهي السبب في أن باحثي الأمن والمدافعين عن الخصوصية يتعاملون مع الكشوفات البيومترية بمستوى مرتفع من القلق.

الحجم هنا أيضًا يلفت الانتباه. تسعة ملايين صورة رقم كبير بالنسبة لخدمة مبنية حول التحقق من الهوية، وهو قطاع يعتمد عرض القيمة الكامل فيه على الثقة في أن البيانات المعالجة تُدار بشكل آمن. عندما تصبح شركة التحقق من الهوية نفسها مصدرًا للتسريب، فإن ذلك يقوض الفرضية الأساسية التي تقوم عليها هذه الصناعة.

هذه ليست المرة الأولى في الذاكرة القريبة التي تتعرض فيها مجموعة كبيرة من السجلات المرتبطة بمنصات معروفة موجهة للمستهلكين للكشف أو السرقة. الاختراقات التي طالت تجار التجزئة والعلامات التجارية الكبرى، مثل الحوادث التي أثرت على زارا وكارنيفال و7-Eleven، أظهرت كيف يمكن أن تتعرض ملايين سجلات العملاء للاختراق بسرعة عبر موردين خارجيين أو أنظمة غير محمية. في قضية منفصلة، تم كشف رسائل بريد إلكتروني لعملاء زارا عبر اختراق طرف ثالث، مما يؤكد كيف يمكن أن تكون البيانات عرضة للخطر حتى عندما تمر عبر موردين تثق بهم الشركة. كشف ClarityCheck يضيف البيانات البيومترية إلى تلك القائمة المتنامية من فئات المعلومات الحساسة المعرضة للخطر بسبب إهمالات أمنية أساسية.

ماذا يعني هذا بالنسبة لك

إذا كنت قد استخدمت يومًا أداة للبحث العكسي عن الصور، أو قدمت صورة للتحقق من الهوية، أو تم جمع صورتك وفهرستها بواسطة خدمة مثل ClarityCheck دون علمك المباشر، فإن هذا التسريب هو تذكير بمدى ضآلة التحكم الذي يمتلكه معظم الناس في مصير بياناتهم الوجهية. على عكس اختراق البيانات الذي يشمل خدمة سجلت فيها مباشرة، فإن العديد من المتأثرين بتسريبات التعرف على الوجوه لم يوافقوا أبدًا على جمع صورتهم أو التحقق منها في المقام الأول.

الخطر العملي يشمل سرقة الهوية، حيث يمكن استخدام الصور الوجهية مع البيانات الشخصية لبناء هويات مزيفة مقنعة أو تجاوز أنظمة التحقق الوجهية التي تستخدمها البنوك والمؤسسات الأخرى. كما يثير مخاوف بشأن المراقبة والتنميط غير المصرح به، حيث أنه بمجرد كشف الصور على الإنترنت، يمكن نسخها وجمعها وإعادة استخدامها إلى أجل غير مسمى.

خطوات عملية يمكن اتخاذها

بينما لا يمكنك محو صورة وجهك من الإنترنت، هناك خطوات تستحق اتخاذها. تحقق مما إذا كانت صورتك تظهر في نتائج البحث العكسي عن الصور باسمك، واطلب الإزالة من مواقع وسطاء البيانات أو مواقع البحث عن الأشخاص حيثما أمكن. فعّل المصادقة متعددة العوامل التي لا تعتمد فقط على التعرف على الوجه للحسابات الحساسة مثل الخدمات المصرفية. كن حذرًا بشأن التطبيقات والخدمات التي تطلب فحوصات الوجه، واقرأ سياسات الخصوصية لفهم المدة التي يتم فيها الاحتفاظ بالبيانات البيومترية. أخيرًا، راقب خدمات مراقبة الهوية التي يمكنها تنبيهك إذا ظهرت معلوماتك الشخصية، بما في ذلك المعرفات البيومترية، في اختراقات مستقبلية.

مع ازدياد اندماج أدوات التعرف على الوجه والتحقق من الهوية في الحياة الرقمية اليومية، تسلط حوادث مثل كشف ClarityCheck الضوء على سبب حاجة الشركات التي تتعامل مع البيانات البيومترية إلى معايير أمنية أقوى، ولماذا يجب على المستخدمين البقاء على اطلاع حول المكان الذي تنتهي فيه بياناتهم الأكثر شخصية، وجوههم نفسها، بالتخزين.