Масова експозиция на биометрични данни излиза наяве

Изследовател по киберсигурност откри незащитена облачна база данни, съдържаща повече от 9 милиона лицеви снимки, свързани с ClarityCheck, базирана в САЩ услуга за обратно търсене на изображения и проверка на самоличността. Според доклада за откритието, изследователят Джеремая Фаулър намерил изложената база данни с размер от приблизително 450,2 GB, съдържаща около 9 042 977 лицеви снимки, заедно със свързани профилни данни.

Базата данни е била оставена без криптиране и без защита с парола, което означава, че всеки, който се е натъкнал на нея онлайн, е можел потенциално да получи достъп до биометричните записи вътре. Тъй като бизнес моделът на ClarityCheck се фокусира върху проверка на самоличността и съпоставяне на лица в интернет, изложените данни вероятно са включвали не само сурови снимки, но и профилна информация, свързана с реални самоличности, което значително повишава залозите в сравнение с типичен теч на имейли или пароли.

Защо неправилно конфигурираните бази данни продължават да причиняват масови течове

Този инцидент попада в модел, който стана тревожно често срещан в света на сигурността на данните: неправилно конфигурирана, незащитена облачна база данни. Тъй като бизнесът все повече разчита на облачно съхранение за чувствителни данни за служители, партньори и клиенти, удобството на лесен достъп и интеграция с инструменти за бизнес анализ често идва за сметка на правилната конфигурация на сигурността. База данни, оставена отворена без изисквания за удостоверяване, е ефективно публична, независимо колко чувствително е съдържанието ѝ.

Това, което прави конкретната експозиция забележителна, е естеството на включените данни. Паролите могат да бъдат сменени. Номерата на кредитни карти могат да бъдат анулирани и издадени наново. Но лицевата снимка е постоянна. След като биометрични данни като тези бъдат изложени, няма начин да промените лицето си така, както бихте променили компрометирана парола. Тази постоянност е това, което отличава течовете на разпознаване на лица от по-рутинните пробиви на идентификационни данни, и е причината изследователите по сигурността и защитниците на поверителността да третират биометричните експозиции с повишено внимание.

Мащабът също се откроява. Девет милиона изображения са значителен брой за услуга, изградена около проверка на самоличността — сектор, в който цялото ценностно предложение зависи от доверието, че обработваните данни се съхраняват сигурно. Когато самата компания за проверка на самоличността стане източник на теч, това подкопава самата предпоставка, върху която е изградена индустрията.

Това не е първият път в близкото минало, когато голямо количество записи, свързани с добре познати потребителски платформи, се оказва изложено или откраднато. Пробиви, засягащи търговци на дребно и други големи марки, като инцидентите, засегнали Zara, Carnival и 7-Eleven, показват колко бързо милиони клиентски записи могат да бъдат компрометирани чрез външни доставчици или незащитени системи. В отделен случай имейлите на клиенти на Zara бяха изложени чрез пробив при външен доставчик, което подчертава колко уязвими могат да бъдат данните, дори когато преминават през доставчици, на които компанията вярва. Експозицията на ClarityCheck добавя биометрични данни към този растящ списък от чувствителни категории информация, изложени на риск от основни пропуски в сигурността.

Какво означава това за вас

Ако някога сте използвали инструмент за обратно търсене на изображения, сте подали снимка за проверка на самоличността или образът ви е бил събран и индексиран от услуга като ClarityCheck без вашето пряко знание, този теч е напомняне колко малко контрол имат повечето хора върху това къде попадат данните за лицето им. За разлика от пробив на данни, включващ услуга, за която сте се регистрирали директно, много хора, засегнати от течове на разпознаване на лица, никога не са давали съгласие образът им да бъде събиран или проверяван на първо място.

Практическият риск включва кражба на самоличност, тъй като лицеви снимки, комбинирани с профилни данни, могат да бъдат използвани за създаване на убедителни фалшиви самоличности или за заобикаляне на системи за лицево удостоверяване, използвани от банки и други институции. Това също поражда опасения относно наблюдение и неоторизирано профилиране, тъй като след като изображенията бъдат изложени онлайн, те могат да бъдат копирани, събирани и използвани за други цели без ограничение.

Практически стъпки, които можете да предприемете

Въпреки че не можете да изтриете снимка на собственото си лице от интернет, има стъпки, които си струва да предприемете. Проверете дали вашият образ се появява в резултати от обратно търсене на изображения за вашето име, и поискайте премахване от сайтове за брокери на данни или за търсене на хора, където е възможно. Активирайте многофакторно удостоверяване, което не разчита единствено на разпознаване на лицето за критични акаунти като банкови. Бъдете внимателни кои приложения и услуги искат сканиране на лицето и прочетете политиките за поверителност, за да разберете колко дълго се съхраняват биометричните данни. Накрая, следете услугите за мониторинг на самоличността, които могат да ви предупредят, ако личната ви информация, включително биометрични идентификатори, се появи в бъдещи пробиви.

Тъй като инструментите за разпознаване на лица и проверка на самоличността стават все по-вградени в ежедневния цифров живот, инциденти като експозицията на ClarityCheck подчертават защо компаниите, обработващи биометрични данни, се нуждаят от по-силни базови линии за сигурност и защо потребителите трябва да остават информирани за това къде най-личните им данни — собственото им лице — се съхраняват в крайна сметка.