AI стартъпът Mercor е засегнат от мащабен пробив в биометричните данни

Mercor, платформа за AI подбор на персонал и управление на работната сила, оценена на 10 милиарда долара, е претърпяла значителен пробив в данните, при който са разкрити едни от най-чувствителните лични данни, които могат да се представят: документи за самоличност, издадени от държавни органи, лицеви биометрични данни и гласови биометрични данни, принадлежащи на потребителите на платформата. Инцидентът е привлякъл широко внимание не само заради естеството на откраднатите данни, но и заради начина, по който е станало това, и последиците, които биха могли да настъпят за засегнатите лица.

Инцидентът е свързан с атака срещу веригата на доставки, насочена към LiteLLM — широко използвана библиотека с отворен код, която помага на разработчиците да интегрират големи езикови модели в своите приложения. Когато дадена зависимост на толкова фундаментално ниво бъде компрометирана, щетите могат да се разпространят из десетки или стотици компании, които разчитат на нея. В случая Mercor изглежда е сред жертвите. Хакерските групи TeamPCP и Lapsus$ са посочени като замесени в атаката. Lapsus$ е група с добре документирана история на резонансни пробиви срещу големи технологични компании.

Meta, която е работила с Mercor, е спряла партньорството си с компанията след новините за пробива.

Защо пробивите в биометричните данни са особено опасни

Не всички пробиви в данните носят еднакъв риск. Когато дадена парола бъде открадната, можете да я смените. Когато номерът на кредитна карта бъде разкрит, банката може да издаде нова. Биометричните данни са различни. Вашето лице, глас и пръстови отпечатъци не могат да бъдат преиздадени. Веднъж след като тези данни излязат навън, те остават навън завинаги.

Именно това прави пробива в Mercor особено сериозен. Лицевите биометрични данни в комбинация с документи за самоличност, издадени от държавни органи, дават на злонамерените лица изключително мощен инструментариум за измами с идентичност. По-конкретно, те създават идеални условия за измами с deepfake, при които синтетично медийно съдържание, генерирано от AI, се използва за имитиране на реални хора. Нападателите потенциално биха могли да използват откраднати изображения на лица и гласови записи, за да преминат проверки за верификация на самоличността, да открият измамнически финансови сметки или да се представят за определени лица по време на видеообаждания и интервюта.

Технологията за deepfake се развива бързо, а прагът за създаване на убедително синтетично медийно съдържание е спаднал значително. Когато са налични висококачествени изходни материали като реални биометрични данни на лице, резултатите стават още по-убедителни и по-трудни за разкриване.

Уязвимостта на веригата на доставки в центъра на този пробив

Един от най-важните аспекти на този инцидент е векторът на атаката: компрометиране на верига на доставки. Вместо да атакуват Mercor директно, заплашителните актьори са се насочили към LiteLLM — библиотека, от която Mercor и много други AI компании зависят. Това е добре утвърдена и все по-разпространена стратегия за атака.

Атаките срещу веригата на доставки са трудни за защита, тъй като експлоатират доверието. Когато дадена компания интегрира библиотека с отворен код, тя по своята същност се доверява, че кодът е чист. Инжектирането на злонамерен код на ниво библиотека означава, че всяка компания, която изтегля актуализации, може по невнимание да инсталира задна врата или компонент за събиране на данни.

Този пробив служи като напомняне, че сигурността на дадена организация е толкова силна, колкото е силна най-слабата връзка в нейните софтуерни зависимости. За потребителите той подчертава, че вашите данни могат да бъдат изложени на риск от решения, взети на няколко нива, отдалечени от компанията, на която всъщност сте предоставили тези данни.

Какво означава това за вас

Ако сте използвали платформата на Mercor и сте предоставили документи за верификация на самоличността или сте участвали в каквото и да е събиране на биометрични данни, трябва да третирате данните си за самоличност като потенциално компрометирани. Ето какво можете да направите в момента:

  • Следете за измами с идентичност. Настройте сигнали при вашата банка и финансови институции и проверявайте кредитните си отчети за необичайна активност.
  • Бъдете внимателни при видео-базирани проверки на самоличността. Ако някой твърди, че е вие в контекст на видео верификация, това твърдение вече е по-лесно да се фалшифицира с помощта на deepfake инструменти.
  • Поставяйте под въпрос незаявени контакти. Измамниците, разполагащи с вашите данни за самоличност, могат да се опитат да извършат фишинг атаки, които изглеждат необичайно легитимни, тъй като вече знаят подробности за вас.
  • Ограничете споделянето на биометрични данни занапред. Бъдете избирателни относно това на кои услуги предоставяте лицеви сканирания, гласови записи или документи за самоличност. Запитайте се дали услугата наистина изисква такова ниво на данни.
  • Използвайте силни, уникални идентификационни данни навсякъде. Въпреки че паролите сами по себе си не могат да защитят биометричните данни, намаляването на общата ви уязвима повърхност винаги е от полза.
  • Криптирайте комуникациите си. Използването на VPN при свързване към услуги, особено по обществени или ненадеждни мрежи, намалява риска от допълнително прихващане на данни.

Пробивът в Mercor е ясна илюстрация на това защо централизираното съхранение на силно чувствителни биометрични данни създава концентриран риск. Когато една компания съхранява лицеви сканирания, гласови отпечатъци и документи за самоличност на голям брой хора, една единствена успешна атака може да има последици, трайни в продължение на години.

Поддържането на информираност за пробиви, засягащи услуги, които използвате, разбирането на това какви данни сте споделили с кои платформи и проактивният подход към вашата цифрова идентичност са сред най-практичните стъпки, които можете да предприемете. Пробивите в данните няма да изчезнат, но колкото повече знаете за местата, където се съхранява най-чувствителната ви информация, толкова по-добре ще сте подготвени да реагирате, когато нещо се обърка.