Zpráva TechRadar o breachi GovTech, při kterém uniklo 42 milionů dokumentů, shrnuje také několik dalších exponovaných databází. Dvě vynikají. Jednou je AI vývojářská společnost Vibetech, která shromažďovala data z dřívějších breachů a omylem nechala téměř 14 milionů záznamů přístupných online. Druhou je služba reverzního vyhledávání obrázků a ověřování identity, která odhalila více než 9 milionů snímků obličeje. Ve spojení ukazují únik databáze AI firmy a expozice rozpoznávání obličejů, jak mohou osobní údaje způsobovat škodu dlouho po původním incidentu.
Co exponované databáze obsahovaly
Dosud zveřejněné podrobnosti jsou omezené, proto stojí za to být přesný v tom, co je známo.
Podle zprávy zahrnovala expozice Vibetech téměř 14 milionů záznamů. Společnost data shromáždila z různých breachů a ta se pak omylem stala dostupnými online. Hlavní incident GovTech zahrnoval 42 milionů dokumentů, včetně tisíců popsaných jako naplněné osobními údaji.
Třetí případ zahrnoval snímky obličeje. Více než 9 milionů jich odhalila služba reverzního vyhledávání obrázků a ověřování identity. Naše dřívější zpravodajství o úniku ClarityCheck odhalujícím 9 milionů snímků obličeje popisuje, jak výzkumník našel nezabezpečenou cloudovou databázi spojenou s touto službou se sídlem v USA.
Jsou to samostatné incidenty, ale sdílejí příčinu: data uložená někde, kde neměla být dostupná komukoli s připojením k internetu.
Jak se agregovaná data z breachů ocitnou online
Případ Vibetech je jiný typ problému než typický hack. Nikdo se nutně nevloupal. Společnost shromáždila informace z několika dřívějších breachů, umístila je na jedno místo a toto místo pak nezabezpečila.
To je důležité z několika důvodů:
- Staré úniky dostávají druhý život. Data, která byla roztroušena napříč samostatnými incidenty, se po zkompilování do jedné sbírky snáze vyhledávají a používají.
- Postižení lidé to nemusí vědět. Pokud byly vaše údaje v dřívějším breachi, možná se nikdy nedozvíte, že je třetí strana shromáždila a později znovu odhalila.
- Chybná konfigurace je opakující se selhání. Nezabezpečené databáze, ať už cloudová úložiště nebo vyhledávací platformy, se v bezpečnostním výzkumu objevují neustále. Naše zpravodajství o 220 milionech cestovatelských záznamů odhalených při úniku Vietnam APIS se týkalo nezabezpečené databáze Elasticsearch, což je podobný typ chyby v velmi odlišném měřítku.
Zkompilované datové sady také mohou usnadnit propojení samostatných informací s jednou osobou. E-mailová adresa z jednoho breachu a telefonní číslo z jiného jsou pro zločince méně užitečné než jediný profil, který obsahuje obojí.
Proč jsou únik databáze AI firmy a data rozpoznávání obličejů trvalým rizikem
Většinu uniklých dat lze změnit. Můžete resetovat heslo, zrušit kartu nebo nahradit účet. Obličej nahradit nelze.
Když jsou snímky obličeje odhaleny, zejména službou postavenou na reverzním vyhledávání obrázků a ověřování identity, mohou být snímky spojeny se jmény nebo jinými identifikačními údaji. Bezpečnostní komentáře k případu ClarityCheck poznamenávají, že riziko roste, když zločinci kombinují snímky obličeje s dalšími osobními údaji. To by mohlo podpořit vydávání se za někoho jiného, podvodné ověřování identity nebo cílené podvody.
Existuje také kumulativní efekt. Pokud agregátor jako Vibetech může shromažďovat data z více breachů, totéž by se mohlo stát se sadou uniklých snímků. Jediná expozice, která vypadá ohraničeně, se může stát trvalou součástí fondu dat, který mohou ostatní shromažďovat a znovu používat.
Nic z toho neznamená, že se každý člověk v exponované databázi stane obětí. Znamená to však, že obvyklá rada změnit si po breachi heslo je neúplná, když jsou exponovanými daty biometrické údaje.
Co to znamená pro vás: Omezení vaší expozice
Nemůžete ovlivnit, jak společnost ukládá data, která již vlastní, ale můžete snížit, kolik vašich dat je venku a jak užitečná by byla, kdyby byla odhalena.
Zkontrolujte svou expozici. Vyhledejte své e-mailové adresy a telefonní čísla v renomovaném nástroji pro oznámení o breachech. Pokud se objeví, považujte související účty za kompromitované a změňte tato hesla, přičemž pro každý účet použijte jedinečné heslo.
Buďte selektivní u biometrických nahrávek a nahrávek dokladů totožnosti. Než nahrajete selfie, pas nebo řidičský průkaz do ověřovací služby, zeptejte se, zda je to skutečně nutné. Zkontrolujte, co společnost uvádí o uchovávání a mazání. Kde je na výběr, upřednostněte metody, které neukládají váš obličej.
Omezte veřejné fotografie. Služby reverzního vyhledávání obrázků a scrapingu se spoléhají na snadno naleztelné obrázky. Zpřísnění nastavení soukromí na sociálních účtech a odstranění starých veřejných fotografií snižuje to, co lze shromáždit.
Sledujte navazující podvody. Uniklé osobní údaje často živí phishing, vydávání se za někoho jiného a falešné žádosti o ověření. K neočekávaným zprávám, které odkazují na přesné osobní údaje, přistupujte s zvýšenou opatrností a ověřujte je prostřednictvím oficiálního kanálu.
Používejte silnou ochranu účtů. Zapněte vícefaktorové ověřování, kde je k dispozici, aby samotné exponované přihlašovací údaje byly méně užitečné. VPN může chránit vaše připojení před místním odposloucháváním, ale nechrání data, která společnost již uložila a nechala exponovaná.
Klíčové poznatky
Širší ponaučení z tohoto úniku databáze AI firmy a expozice rozpoznávání obličejů je, že data z breachů nezmizí. Mohou být shromážděna, zkombinována a znovu odhalena, a obličej je jediný identifikátor, který nelze resetovat.
- Zkontrolujte, zda se váš e-mail a telefonní číslo objevují ve známých databázích breachů, a aktualizujte všechna postižená hesla.
- Sdílejte biometrická data a doklady totožnosti pouze v případě potřeby a upřednostněte služby s jasnými zásadami mazání.
- Snižte počet veřejných fotografií spojených s vaším jménem.
- Zůstaňte ostražití vůči podvodům, které používají skutečné osobní údaje.
Konkrétní příklad toho, co je v sázce, najdete v naší zprávě o úniku snímků obličeje ClarityCheck, a poté si věnujte několik minut kontrole toho, co jste sdíleli se službami ověřování identity.
