En TechRadar-rapport om et GovTech-brud, der lækkede 42 millioner dokumenter, opsummerer også flere andre blotlagte databaser. To skiller sig ud. Den ene er en AI-udviklingsvirksomhed, Vibetech, der indsamlede data fra tidligere brud og ved et uheld efterlod næsten 14 millioner poster tilgængelige online. Den anden er en omvendt billedsøgnings- og identitetsbekræftelsestjeneste, der blotlagde mere end 9 millioner ansigtsgenkendelsesbilleder. Samlet viser lækagen af AI-virksomhedens database og blotlæggelsen af ansigtsgenkendelse, hvordan personoplysninger kan fortsætte med at forårsage skade længe efter den oprindelige hændelse.
Hvad de blotlagte databaser indeholdt
De detaljer, der hidtil er offentliggjort, er begrænsede, så det er værd at være præcis om, hvad der vides.
Ifølge rapporten omfattede Vibetech-blotlæggelsen næsten 14 millioner poster. Virksomheden havde indsamlet dataene fra forskellige brud, og de blev derefter tilgængelige online ved et uheld. Den overskiftsættende GovTech-hændelse omfattede 42 millioner dokumenter, herunder tusinder beskrevet som fyldt med personlige oplysninger.
Det tredje tilfælde omfattede ansigtsbilleder. Mere end 9 millioner blev blotlagt af en omvendt billedsøgnings- og identitetsbekræftelsestjeneste. Vores tidligere dækning af ClarityCheck-lækagen, der blotlægger 9 millioner ansigtsbilleder beskriver, hvordan en forsker fandt en usikret clouddatabase knyttet til den USA-baserede tjeneste.
Det er separate hændelser, men de deler en årsag: data opbevaret et sted, hvor de ikke burde kunne nås af nogen med en internetforbindelse.
Hvordan aggregerede bruddata ender online
Vibetech-sagen er en anden slags problem end et typisk hack. Ingen brød nødvendigvis ind. En virksomhed indsamlede information fra flere tidligere brud, lagde det ét sted og undlod derefter at sikre det sted.
Det betyder noget af flere grunde:
- Gamle lækager får et nyt liv. Data, der var spredt over separate hændelser, bliver lettere at søge i og bruge, når de er samlet i én samling.
- De berørte ved det måske ikke. Hvis dine oplysninger var i et tidligere brud, lærer du måske aldrig, at en tredjepart indsamlede dem og senere blotlagde dem igen.
- Fejlkonfiguration er en tilbagevendende fejl. Usikrede databaser, hvad enten det er cloudlagring eller søgeplatforme, dukker fortsat op i sikkerhedsforskning. Vores dækning af 220 millioner rejsendeposter blotlagt i en vietnamesisk APIS-lækage involverede en usikret Elasticsearch-database, en lignende slags fejl i en meget anderledes skala.
Samlede datasæt kan også gøre det lettere at knytte separate oplysninger til én person. En e-mailadresse i ét brud og et telefonnummer i et andet er mindre nyttige for en kriminel end en enkelt profil, der indeholder begge.
Hvorfor en lækage af en AI-virksomheds database og ansigtsgenkendelsesdata er en varig risiko
De fleste lækkede data kan ændres. Du kan nulstille en adgangskode, annullere et kort eller erstatte en konto. Et ansigt kan ikke erstattes.
Når ansigtsbilleder blotlægges, især af en tjeneste bygget op omkring omvendt billedsøgning og identitetsbekræftelse, kan billederne være knyttet til navne eller andre identificerende oplysninger. Sikkerhedskommentarer til ClarityCheck-sagen bemærker, at risikoen vokser, når kriminelle kombinerer ansigtsbilleder med andre personoplysninger. Det kan understøtte identitetsbedrageri, svigagtige identitetskontroller eller målrettede svindelnumre.
Der er også en akkumulerende effekt. Hvis en aggregator som Vibetech kan indsamle data fra flere brud, kan det samme ske med et sæt lækkede billeder. En enkelt blotlæggelse, der ser afgrænset ud, kan blive en permanent del af den pulje af data, som andre kan indsamle og genbruge.
Intet af dette betyder, at enhver person i en blotlagt database bliver et offer. Det betyder, at det sædvanlige råd om at skifte adgangskode efter et brud er ufuldstændigt, når de blotlagte data er biometriske.
Hvad dette betyder for dig: Begræns din eksponering
Du kan ikke kontrollere, hvordan en virksomhed opbevarer data, den allerede har, men du kan reducere, hvor meget af dine data der er derude, og hvor nyttige de ville være, hvis de blev blotlagt.
Tjek din eksponering. Slå dine e-mailadresser og telefonnumre op i et velrenommeret værktøj til brudnotifikationer. Hvis de optræder, skal du behandle de tilknyttede konti som kompromitterede og skifte disse adgangskoder og bruge en unik adgangskode til hver konto.
Vær selektiv med biometriske uploads og ID-uploads. Før du uploader en selfie, et pas eller et kørekort til en bekræftelsestjeneste, skal du spørge, om det virkelig er nødvendigt. Tjek, hvad virksomheden siger om opbevaring og sletning. Hvor der er et valg, så foretræk metoder, der ikke gemmer dit ansigt.
Begræns offentlige billeder. Omvendt billedsøgning og scraping-tjenester er afhængige af billeder, der er nemme at finde. Strammere privatlivsindstillinger på sociale konti og fjernelse af gamle offentlige billeder reducerer, hvad der kan indsamles.
Vær opmærksom på opfølgende svindelnumre. Lækkede personoplysninger driver ofte phishing, identitetsbedrageri og falske bekræftelsesanmodninger. Behandl uventede beskeder, der refererer til præcise personoplysninger, med ekstra forsigtighed, og bekræft gennem en officiel kanal.
Brug stærk kontobeskyttelse. Slå multifaktorautentificering til, hvor det er tilgængeligt, så blotlagte legitimationsoplysninger alene er mindre nyttige. En VPN kan beskytte din forbindelse mod lokal aflytning, men den beskytter ikke data, som en virksomhed allerede har gemt og efterladt blotlagt.
Vigtigste pointer
Den bredere lære af denne lækage af en AI-virksomheds database og blotlæggelsen af ansigtsgenkendelse er, at lækkede data ikke forsvinder. De kan indsamles, kombineres og blotlægges igen, og et ansigt er den eneste identifikator, du ikke kan nulstille.
- Tjek, om din e-mail og dit telefonnummer optræder i kendte bruddatabaser, og opdater eventuelle berørte adgangskoder.
- Del kun biometriske data og ID-dokumenter, når det er nødvendigt, og foretræk tjenester med klare slettepolitikker.
- Reducer antallet af offentlige billeder knyttet til dit navn.
- Vær opmærksom på svindelnumre, der bruger rigtige personoplysninger.
For et konkret eksempel på, hvad der er på spil, kan du læse vores rapport om ClarityCheck-lækagen af ansigtsbilleder og derefter bruge et par minutter på at gennemgå, hvad du har delt med identitetsbekræftelsestjenester.
