AI-startup Mercor ramt af stort biometrisk databrud

Mercor, en AI-baseret rekrutterings- og arbejdsstyrkplatform vurderet til 10 milliarder dollars, har været udsat for et alvorligt databrud, der afslørede noget af det mest følsomme persondata, man kan forestille sig: offentligt udstedte ID-dokumenter, ansigtsbiometri og stemmebiometri tilhørende platformens brugere. Bruddet har vakt bred opmærksomhed ikke kun på grund af karakteren af de stjålne data, men også på grund af måden det skete på, og hvilke konsekvenser det kan få for de berørte personer.

Hændelsen er knyttet til et forsyningskædeangreb rettet mod LiteLLM, et udbredt open source-bibliotek, der hjælper udviklere med at integrere store sprogmodeller i deres applikationer. Når en så grundlæggende afhængighed kompromitteres, kan skaden brede sig til snesevis eller hundredvis af virksomheder, der er afhængige af den. I dette tilfælde ser Mercor ud til at være blandt ofrene. Hackergrupperne TeamPCP og Lapsus$ er blevet impliceret i angrebet. Lapsus$ er en gruppe med en veldokumenteret historik for højprofilerede indbrud mod store teknologivirksomheder.

Meta, som havde samarbejdet med Mercor, har angiveligt sat dette partnerskab på pause efter nyheden om bruddet.

Hvorfor biometriske databrud er særligt farlige

Ikke alle databrud indebærer den samme risiko. Når en adgangskode bliver stjålet, kan du ændre den. Når et kreditkortnummer bliver afsløret, kan banken udstede et nyt. Biometriske data er anderledes. Dit ansigt, din stemme og dine fingeraftryk kan ikke udstedes på ny. Når de data først er ude, er de ude for altid.

Det er dette, der gør Mercor-bruddet særligt alvorligt. Ansigtsbiometri kombineret med offentligt udstedte ID-dokumenter giver ondsindede aktører et overordentligt effektivt værktøj til identitetssvig. Mere specifikt skaber det ideelle betingelser for deepfake-svindel, hvor syntetiske medier genereret af AI bruges til at efterligne rigtige personer. Angribere kan potentielt bruge stjålne ansigtsfotos og stemmeoptag til at bestå identitetsverifikationskontroller, oprette svigagtige finansielle konti eller udgive sig for at være enkeltpersoner i videoopkald og interviews.

Deepfake-teknologi har udviklet sig hurtigt, og tærsklen for at skabe overbevisende syntetiske medier er faldet betydeligt. Når der er adgang til kildemateriale af høj kvalitet, som en rigtig persons biometriske data, bliver resultaterne endnu mere overbevisende og sværere at opdage.

Den sårbarhed i forsyningskæden, der er central for dette brud

Et af de vigtigste aspekter ved denne hændelse er angrebsvektoren: et forsyningskædekompromis. I stedet for at angribe Mercor direkte rettede trusselsaktørerne sig mod LiteLLM, et bibliotek som Mercor og mange andre AI-virksomheder er afhængige af. Dette er en veletableret og stadig mere udbredt angrebsstrategi.

Forsyningskædeangreb er svære at forsvare sig imod, fordi de udnytter tillid. Når en virksomhed integrerer et open source-bibliotek, stoler den i sagens natur på, at koden er ren. Ved at injicere ondsindet kode på biblioteksniveau betyder det, at enhver virksomhed, der henter opdateringer, utilsigtet kan installere en bagdør eller en dataindsamlingskomponent.

Dette brud minder os om, at en organisations sikkerhedsniveau kun er så stærkt som det svageste led i dens softwareafhængigheder. For brugerne understreger det, at dine data kan blive sat på spil af beslutninger truffet flere lag væk fra den virksomhed, du faktisk afleverede dine data til.

Hvad dette betyder for dig

Hvis du har brugt Mercors platform og indsendt identitetsverifikationsdokumenter eller deltaget i nogen form for indsamling af biometriske data, bør du betragte dine identitetsoplysninger som potentielt kompromitterede. Her er, hvad du kan gøre lige nu:

  • Overvåg for identitetssvig. Opsæt advarsler hos din bank og finansielle institutioner, og tjek dine kreditrapporter for usædvanlig aktivitet.
  • Vær forsigtig med videobaserede identitetskontroller. Hvis nogen hævder at være dig i en videoverifikationssituation, er det nu lettere at forfalske ved hjælp af deepfake-værktøjer.
  • Stil spørgsmålstegn ved uopfordret kontakt. Svindlere med dine ID-data kan forsøge phishing-angreb, der virker usædvanligt troværdige, fordi de allerede kender detaljer om dig.
  • Begræns deling af biometriske data fremover. Vær selektiv med, hvilke tjenester du giver ansigtsscans, stemmeoptag eller offentlige ID'er til. Spørg, om tjenesten virkelig kræver det niveau af data.
  • Brug stærke, unikke loginoplysninger overalt. Selv om adgangskoder alene ikke kan beskytte biometriske data, er det altid en fordel at reducere din samlede angrebsflade.
  • Kryptér dine kommunikationer. Brug af en VPN, når du opretter forbindelse til tjenester – især over offentlige eller ikke-betroede netværk – reducerer risikoen for yderligere dataopfangning.

Mercor-bruddet er en tydelig illustration af, hvorfor centraliseret opbevaring af særdeles følsomme biometriske data skaber koncentreret risiko. Når én virksomhed opbevarer ansigtsscans, stemmeaftryk og identitetsdokumenter for et stort antal mennesker, kan et enkelt vellykket angreb have konsekvenser, der varer i årevis.

At holde sig informeret om brud, der påvirker tjenester du bruger, forstå hvilke data du har delt med hvilke platforme, og anlægge en proaktiv tilgang til din digitale identitet er blandt de mest praktiske skridt, du kan tage. Databrud forsvinder ikke, men jo mere du ved om, hvor dine mest følsomme oplysninger befinder sig, desto bedre er du rustet til at reagere, når noget går galt.