En massiv biometrisk dataeksponering kommer for dagens lys
En cybersikkerhedsforsker har afdækket en ubeskyttet cloud-database, der indeholder mere end 9 millioner ansigtsbilleder knyttet til ClarityCheck, en amerikanskbaseret tjeneste til omvendt billedsøgning og identitetsverifikation. Ifølge rapporteringen om opdagelsen fandt forskeren Jeremiah Fowler den eksponerede database på omkring 450,2 GB i størrelse, indeholdende anslået 9.042.977 ansigtsbilleder sammen med tilhørende profildata.
Databasen var efterladt ukrypteret og uden adgangskodebeskyttelse, hvilket betyder, at enhver, der tilfældigvis stødte på den online, potentielt kunne få adgang til de biometriske registreringer inde i den. Fordi ClarityChecks forretningsmodel er centreret om identitetsverifikation og matchning af ansigter på tværs af internettet, indeholdt de eksponerede data sandsynligvis ikke kun rå billeder, men også profiloplysninger knyttet til rigtige identiteter, hvilket hæver indsatsen betydeligt sammenlignet med et typisk e-mail- eller adgangskodelæk.
Hvorfor fejlkonfigurerede databaser bliver ved med at forårsage massive læk
Denne hændelse passer ind i et mønster, der er blevet foruroligende almindeligt i datasikkerhedsverdenen: en fejlkonfigureret, ubeskyttet cloud-database. Efterhånden som virksomheder i stigende grad er afhængige af cloud-lagring til at opbevare følsomme data om medarbejdere, partnere og kunder, kommer bekvemmeligheden ved nem adgang og integration med business intelligence-værktøjer ofte på bekostning af korrekt sikkerhedskonfiguration. En database, der er efterladt åben uden godkendelseskrav, er reelt offentlig, uanset hvor følsomt indholdet er.
Det, der gør denne særlige eksponering bemærkelsesværdig, er karakteren af de involverede data. Adgangskoder kan nulstilles. Kreditkortnumre kan annulleres og udstedes igen. Men et ansigtsbillede er permanent. Når først biometriske data som dette er eksponeret, er der ingen måde at ændre dit ansigt på, som du måske ville ændre en kompromitteret adgangskode. Denne permanenthed er det, der adskiller læk af ansigtsgenkendelse fra mere rutinemæssige legitimationslæk, og det er derfor, sikkerhedsforskere og privatlivsforkæmpere behandler biometriske eksponeringer med et forhøjet niveau af bekymring.
Skalaen her skiller sig også ud. Ni millioner billeder er et betydeligt antal for en tjeneste bygget omkring identitetsverifikation, en sektor, hvor hele værditilbuddet afhænger af tillid til, at de data, der behandles, håndteres sikkert. Når en identitetsverifikationsvirksomhed selv bliver kilden til et læk, underminerer det selve præmissen, som industrien er bygget på.
Dette er ikke første gang i nyere tid, at en stor mængde registreringer knyttet til velkendte forbrugerrettede platforme er endt eksponeret eller stjålet. Læk, der involverer detailhandlere og andre store mærker, såsom hændelserne, der ramte Zara, Carnival og 7-Eleven, har vist, hvor hurtigt millioner af kunderegistreringer kan ende kompromitterede gennem tredjepartsleverandører eller usikrede systemer. I et separat tilfælde blev Zara-kunders e-mails eksponeret gennem et tredjepartslæk, hvilket understreger, hvor sårbare data kan være, selv når de passerer gennem leverandører, en virksomhed stoler på. ClarityCheck-eksponeringen tilføjer biometriske data til den voksende liste over kategorier af følsomme oplysninger, der er i risiko fra grundlæggende sikkerhedsforsømmelser.
Hvad dette betyder for dig
Hvis du nogensinde har brugt et værktøj til omvendt billedsøgning, indsendt et foto til identitetsverifikation eller fået dit billede skrabet og indekseret af en tjeneste som ClarityCheck uden din direkte viden, er dette læk en påmindelse om, hvor lidt kontrol de fleste mennesker har over, hvor deres ansigtsdata ender. I modsætning til et datalæk, der involverer en tjeneste, du tilmeldte dig direkte, har mange mennesker, der er berørt af læk af ansigtsgenkendelse, aldrig givet samtykke til, at deres billede blev indsamlet eller verificeret i første omgang.
Den praktiske risiko inkluderer identitetstyveri, da ansigtsbilleder kombineret med profildata kan bruges til at opbygge overbevisende falske identiteter eller omgå ansigtsverifikationssystemer, der bruges af banker og andre institutioner. Det rejser også bekymringer om overvågning og uautoriseret profilering, da billeder, når først de er eksponeret online, kan kopieres, skrabes og genbruges i det uendelige.
Handlingsorienterede tiltag
Selvom du ikke kan slette et foto af dit eget ansigt fra internettet, er der skridt, der er værd at tage. Tjek, om dit billede optræder i resultater af omvendt billedsøgning for dit navn, og anmod om fjernelse fra dataformidler- eller personoplysningssøgesider, hvor det er muligt. Aktivér multi-faktor-godkendelse, der ikke udelukkende er afhængig af ansigtsgenkendelse for kritiske konti som bank. Vær forsigtig med, hvilke apps og tjenester der anmoder om ansigtsscanninger, og læs privatlivspolitikker for at forstå, hvor længe biometriske data opbevares. Hold endelig øje med identitetsovervågningstjenester, der kan advare dig, hvis dine personlige oplysninger, herunder biometriske identifikatorer, dukker op i fremtidige læk.
Efterhånden som værktøjer til ansigtsgenkendelse og identitetsverifikation bliver mere integreret i dagligdagens digitale liv, fremhæver hændelser som ClarityCheck-eksponeringen, hvorfor virksomheder, der håndterer biometriske data, har brug for stærkere sikkerhedsbaselinjer, og hvorfor brugere bør holde sig informeret om, hvor deres mest personlige data, deres eget ansigt, ender med at blive opbevaret.
