Доклад на TechRadar за пробив в GovTech, при който изтекоха 42 милиона документа, обобщава и няколко други изложени бази данни. Две се открояват. Едната е компания за разработка на AI, Vibetech, която е събирала данни от по-ранни пробиви и по случайност е оставила близо 14 милиона записа достъпни онлайн. Другата е услуга за обратно търсене на изображения и проверка на самоличност, която е изложила повече от 9 милиона изображения за разпознаване на лица. Взети заедно, изтичането на базата данни на AI фирмата и излагането на данни за разпознаване на лица показват как личните данни могат да продължат да причиняват вреда дълго след първоначалния инцидент. ## Какво съдържаха изложените бази данни Публикуваните досега подробности са ограничени, затова си струва да бъдем точни за това какво е известно. Според доклада излагането на Vibetech е включвало почти 14 милиона записа. Компанията е събрала данните от различни пробиви и след това те са станали достъпни онлайн по случайност. Основният инцидент с GovTech е включвал 42 милиона документа, включително хиляди, описани като пълни с лична информация. Третият случай е включвал изображения на лица. Повече от 9 милиона са били изложени от услуга за обратно търсене на изображения и проверка на самоличност. По-ранното ни отразяване на [изтичането на ClarityCheck, изложило 9 милиона изображения на лица](/en/claritycheck-leak-exposes-9-million-facial-images) описва как изследовател е открил незащитена облачна база данни, свързана с базираната в САЩ услуга. Това са отделни инциденти, но те споделят една причина: данни, съхранявани на място, където не е трябвало да бъдат достъпни за всеки с интернет връзка. ## Как агрегираните данни от пробиви се озовават онлайн Случаят Vibetech е различен вид проблем от типичния хакерски пробив. Никой непременно не е влизал със взлом. Компания е събрала информация от няколко по-ранни пробива, поставила я е на едно място и след това не е успяла да защити това място. Това е важно по няколко причини: - **Старите изтичания получават втори живот.** Данни, които са били разпръснати в отделни инциденти, стават по-лесни за търсене и използване, след като бъдат събрани в една колекция. - **Засегнатите хора може да не знаят.** Ако данните ви са били в по-ранен пробив, може никога да не научите, че трета страна ги е събрала и по-късно ги е изложила отново. - **Неправилната конфигурация е повтарящ се проблем.** Незащитените бази данни, били те облачно хранилище или платформи за търсене, продължават да се появяват в изследванията за сигурност. Нашето отразяване на [220 милиона записа на пътници, изложени при изтичане на APIS във Виетнам](/en/220m-traveler-records-exposed-in-vietnam-apis-leak) включваше незащитена база данни Elasticsearch — подобен вид грешка в съвсем различен мащаб. Компилираните набори от данни също могат да улеснят свързването на отделни части от информация с един човек. Имейл адрес от един пробив и телефонен номер от друг са по-малко полезни за престъпник от един профил, който съдържа и двете. ## Защо изтичането на база данни на AI фирма и данните за разпознаване на лица са траен риск Повечето изтекли данни могат да бъдат променени. Можете да смените парола, да анулирате карта или да замените акаунт. Лицето не може да бъде заменено. Когато изображения на лица бъдат изложени, особено от услуга, изградена около обратно търсене на изображения и проверка на самоличност, изображенията може да са свързани с имена или други идентифициращи данни. Коментарите за сигурността по случая ClarityCheck отбелязват, че рискът нараства, когато престъпниците комбинират изображения на лица с друга лична информация. Това може да подпомогне имперсонация, измамни проверки на самоличност или целенасочени измами. Има и кумулативен ефект. Ако агрегатор като Vibetech може да събира данни от множество пробиви, същото може да се случи и с набор от изтекли изображения. Едно излагане, което изглежда ограничено, може да се превърне в постоянна част от пула от данни, които други могат да събират и използват повторно. Нищо от това не означава, че всеки човек в изложена база данни ще стане жертва. Означава обаче, че обичайният съвет да смените паролата си след пробив е непълен, когато изложените данни са биометрични. ## Какво означава това за вас: ограничаване на излагането ви Не можете да контролирате как дадена компания съхранява данни, които вече притежава, но можете да намалите колко от вашите данни са навън и колко полезни биха били, ако бъдат изложени. **Проверете излагането си.** Потърсете имейл адресите и телефонните си номера в надежден инструмент за уведомяване за пробиви. Ако се появят, третирайте свързаните акаунти като компрометирани и сменете паролите им, като използвате уникална парола за всеки акаунт. **Бъдете избирателни с биометрични и лични документи.** Преди да качите селфи, паспорт или шофьорска книжка в услуга за проверка, попитайте дали това наистина е необходимо. Проверете какво казва компанията за съхранението и изтриването на данни. Където има избор, предпочитайте методи, които не съхраняват лицето ви. **Ограничете публичните снимки.** Услугите за обратно търсене на изображения и скрейпинг разчитат на изображения, които са лесни за намиране. Затягането на настройките за поверителност в социалните акаунти и премахването на стари публични снимки намалява това, което може да бъде събрано. **Внимавайте за последващи измами.** Изтеклите лични данни често захранват фишинг, имперсонация и фалшиви заявки за проверка. Отнасяйте се с повишено внимание към неочаквани съобщения, които споменават точни лични данни, и потвърждавайте чрез официален канал. **Използвайте силна защита на акаунтите.** Включете многофакторно удостоверяване, където е налично, така че само изтеклите идентификационни данни да са по-малко полезни. VPN може да защити връзката ви от локално подслушване, но не защитава данни, които дадена компания вече е съхранила и оставила изложени. ## Основни изводи По-широкият урок от това изтичане на база данни на AI фирма и излагането на данни за разпознаване на лица е, че изтеклите данни не изчезват. Те могат да бъдат събрани, комбинирани и изложени отново, а лицето е единственият идентификатор, който не можете да нулирате. 1. Проверете дали вашият имейл и телефонен номер се появяват в известни бази данни с пробиви и актуализирайте засегнатите пароли. 2. Споделяйте биометрични данни и документи за самоличност само когато е необходимо, и предпочитайте услуги с ясни политики за изтриване. 3. Намалете броя на публичните снимки, свързани с името ви. 4. Бъдете бдителни за измами, които използват реални лични данни. За конкретен пример за това какво е заложено на карта, прочетете доклада ни за [изтичането на изображения на лица от ClarityCheck](/en/claritycheck-leak-exposes-9-million-facial-images), след което отделете няколко минути, за да прегледате какво сте споделили с услуги за проверка на самоличност.