Masivní únik biometrických dat vyplouvá na povrch

Kyberbezpečnostní výzkumník odhalil nezabezpečenou cloudovou databázi obsahující více než 9 milionů obličejových snímků spojených se službou ClarityCheck, americkou službou pro zpětné vyhledávání obrázků a ověřování totožnosti. Podle zpráv o tomto objevu výzkumník Jeremiah Fowler našel vystavenou databázi o velikosti přibližně 450,2 GB, která obsahovala odhadem 9 042 977 obličejových snímků spolu s přidruženými profilovými údaji.

Databáze byla ponechána bez šifrování a bez ochrany heslem, což znamená, že kdokoli, kdo na ni online náhodou narazil, mohl potenciálně získat přístup k biometrickým záznamům uvnitř. Protože obchodní model ClarityCheck stojí na ověřování totožnosti a přiřazování obličejů napříč webem, vystavená data pravděpodobně zahrnovala nejen surové fotografie, ale také profilové informace spojené se skutečnými identitami, což výrazně zvyšuje závažnost oproti běžnému úniku e-mailů nebo hesel.

Proč nesprávně nakonfigurované databáze nadále způsobují masivní úniky

Tento incident zapadá do vzorce, který se ve světě zabezpečení dat stal znepokojivě běžným: nesprávně nakonfigurovaná, nezabezpečená cloudová databáze. Jak podniky stále častěji spoléhají na cloudové úložiště pro ukládání citlivých údajů o zaměstnancích, partnerech a zákaznících, pohodlí snadného přístupu a integrace s nástroji pro business intelligence často přichází na úkor správné bezpečnostní konfigurace. Databáze ponechaná otevřená bez požadavků na autentizaci je fakticky veřejná, bez ohledu na to, jak citlivý je její obsah.

To, co činí tento konkrétní únik pozoruhodným, je povaha dotčených dat. Hesla lze resetovat. Čísla kreditních karet lze zrušit a znovu vydat. Ale obličejový snímek je trvalý. Jakmile jsou biometrická data tímto způsobem vystavena, neexistuje způsob, jak změnit svůj obličej tak, jako můžete změnit kompromitované heslo. Právě tato trvalost odlišuje úniky rozpoznávání obličejů od běžnějších úniků přihlašovacích údajů, a právě proto bezpečnostní výzkumníci a ochránci soukromí zacházejí s biometrickými úniky se zvýšenou mírou obav.

Měřítko zde také vyniká. Devět milionů snímků je pro službu postavenou na ověřování totožnosti značné číslo — v sektoru, kde celá hodnotová nabídka závisí na důvěře, že zpracovávaná data jsou zabezpečena. Když se samotná společnost zabývající se ověřováním totožnosti stane zdrojem úniku, podkopává to samotný předpoklad, na kterém je toto odvětví postaveno.

Není to poprvé v nedávné paměti, kdy velký soubor záznamů spojený s dobře známými spotřebitelskými platformami skončil vystavený nebo odcizený. Úniky týkající se maloobchodníků a dalších významných značek, jako jsou incidenty postihující Zara, Carnival a 7-Eleven, ukázaly, jak rychle mohou miliony zákaznických záznamů skončit kompromitované prostřednictvím dodavatelů třetích stran nebo nezabezpečených systémů. V samostatném případě byly e-maily zákazníků Zara vystaveny prostřednictvím úniku u třetí strany, což podtrhuje, jak zranitelná data mohou být, i když procházejí dodavateli, kterým společnost důvěřuje. Únik ClarityCheck přidává biometrická data k tomuto rostoucímu seznamu kategorií citlivých informací ohrožených základními bezpečnostními přehlédnutími.

Co to znamená pro vás

Pokud jste někdy použili nástroj pro zpětné vyhledávání obrázků, odeslali fotografii pro ověření totožnosti nebo vám byla vaše podoba načtena a indexována službou, jako je ClarityCheck, bez vašeho přímého vědomí, tento únik je připomínkou toho, jak malou kontrolu má většina lidí nad tím, kde jejich obličejová data skončí. Na rozdíl od úniku dat týkajícího se služby, do které jste se přímo přihlásili, mnoho lidí postižených úniky rozpoznávání obličejů nikdy nesouhlasilo s tím, aby jejich snímek byl shromažďován nebo ověřován.

Praktické riziko zahrnuje krádež identity, protože obličejové snímky kombinované s profilovými údaji mohou být použity k vytvoření přesvědčivých falešných identit nebo k obcházení systémů rozpoznávání obličejů používaných bankami a jinými institucemi. Vyvolává také obavy týkající se sledování a neoprávněného profilování, protože jakmile jsou snímky vystaveny online, mohou být kopírovány, načítány a znovu použity neomezeně.

Praktická doporučení

I když nemůžete vymazat fotografii svého vlastního obličeje z internetu, existují kroky, které stojí za to podniknout. Zkontrolujte, zda se váš snímek neobjevuje ve výsledcích zpětného vyhledávání obrázků pro vaše jméno, a pokud je to možné, požádejte o odstranění ze stránek zprostředkovatelů dat nebo vyhledávačů osob. Povolte vícefaktorové ověřování, které se pro kritické účty, jako je bankovnictví, nespoléhá pouze na rozpoznávání obličejů. Buďte obezřetní ohledně aplikací a služeb, které vyžadují skenování obličeje, a čtěte zásady ochrany soukromí, abyste pochopili, jak dlouho jsou biometrická data uchovávána. Nakonec sledujte služby monitorování identity, které vás mohou upozornit, pokud se vaše osobní údaje, včetně biometrických identifikátorů, objeví v budoucích únicích.

Jak se nástroje pro rozpoznávání obličejů a ověřování totožnosti stávají stále více součástí každodenního digitálního života, incidenty jako únik ClarityCheck zdůrazňují, proč společnosti nakládající s biometrickými daty potřebují silnější bezpečnostní základy, a proč by uživatelé měli zůstat informováni o tom, kde jejich nejosobnější data — jejich vlastní tvář — nakonec končí uložená.