Μια αναφορά του TechRadar για μια παραβίαση της GovTech που διέρρευσε 42 εκατομμύρια έγγραφα συγκεντρώνει επίσης αρκετές άλλες εκτεθειμένες βάσεις δεδομένων. Δύο ξεχωρίζουν. Η μία είναι μια εταιρεία ανάπτυξης AI, η Vibetech, που συγκέντρωσε δεδομένα από προηγούμενες παραβιάσεις και άφησε κατά λάθος σχεδόν 14 εκατομμύρια αρχεία προσβάσιμα στο διαδίκτυο. Η άλλη είναι μια υπηρεσία αντίστροφης αναζήτησης εικόνων και επαλήθευσης ταυτότητας που εξέθεσε περισσότερες από 9 εκατομμύρια εικόνες αναγνώρισης προσώπου. Λαμβανόμενες μαζί, η διαρροή της βάσης δεδομένων της εταιρείας AI και η έκθεση αναγνώρισης προσώπου δείχνουν πώς τα προσωπικά δεδομένα μπορούν να συνεχίσουν να προκαλούν ζημιά πολύ μετά το αρχικό περιστατικό.
Τι περιείχαν οι εκτεθειμένες βάσεις δεδομένων
Οι λεπτομέρειες που έχουν δημοσιευτεί μέχρι στιγμής είναι περιορισμένες, επομένως αξίζει να είμαστε ακριβείς σχετικά με το τι είναι γνωστό.
Σύμφωνα με την αναφορά, η έκθεση της Vibetech αφορούσε σχεδόν 14 εκατομμύρια αρχεία. Η εταιρεία είχε συγκεντρώσει τα δεδομένα από διαφορετικές παραβιάσεις και στη συνέχεια αυτά κατέστησαν προσβάσιμα στο διαδίκτυο κατά λάθος. Το κύριο περιστατικό της GovTech αφορούσε 42 εκατομμύρια έγγραφα, συμπεριλαμβανομένων χιλιάδων που περιγράφονται ως γεμάτα προσωπικές πληροφορίες.
Η τρίτη περίπτωση αφορούσε εικόνες προσώπων. Περισσότερες από 9 εκατομμύρια εκτέθηκαν από μια υπηρεσία αντίστροφης αναζήτησης εικόνων και επαλήθευσης ταυτότητας. Η προηγούμενη κάλυψή μας για την διαρροή της ClarityCheck που εξέθεσε 9 εκατομμύρια εικόνες προσώπων περιγράφει πώς ένας ερευνητής βρήκε μια μη ασφαλή βάση δεδομένων cloud που συνδεόταν με την υπηρεσία με έδρα τις ΗΠΑ.
Πρόκειται για ξεχωριστά περιστατικά, αλλά μοιράζονται μια αιτία: δεδομένα αποθηκευμένα κάπου όπου δεν θα έπρεπε να είναι προσβάσιμα από οποιονδήποτε έχει σύνδεση στο διαδίκτυο.
Πώς τα συγκεντρωμένα δεδομένα παραβιάσεων καταλήγουν στο διαδίκτυο
Η περίπτωση της Vibetech είναι ένα διαφορετικό είδος προβλήματος από μια τυπική κυβερνοεπίθεση. Κανείς δεν χρειάστηκε απαραίτητα να παραβιάσει το σύστημα. Μια εταιρεία συγκέντρωσε πληροφορίες από αρκετές προηγούμενες παραβιάσεις, τις έβαλε σε ένα μέρος και στη συνέχεια απέτυχε να ασφαλίσει αυτό το μέρος.
Αυτό έχει σημασία για μερικούς λόγους:
- Οι παλιές διαρροές αποκτούν δεύτερη ζωή. Δεδομένα που ήταν διάσπαρτα σε ξεχωριστά περιστατικά γίνονται ευκολότερο να αναζητηθούν και να χρησιμοποιηθούν όταν συγκεντρώνονται σε μία συλλογή.
- Τα άτομα που επηρεάζονται μπορεί να μην το γνωρίζουν. Αν τα στοιχεία σας βρίσκονταν σε μια προηγούμενη παραβίαση, μπορεί να μην μάθετε ποτέ ότι ένας τρίτος τα συγκέντρωσε και αργότερα τα εξέθεσε ξανά.
- Η εσφαλμένη διαμόρφωση είναι μια επαναλαμβανόμενη αποτυχία. Μη ασφαλείς βάσεις δεδομένων, είτε πρόκειται για αποθήκευση cloud είτε για πλατφόρμες αναζήτησης, εμφανίζονται συνεχώς στην έρευνα ασφαλείας. Η κάλυψή μας για τα 220 εκατομμύρια αρχεία ταξιδιωτών που εκτέθηκαν σε διαρροή APIS του Βιετνάμ αφορούσε μια μη ασφαλή βάση δεδομένων Elasticsearch, ένα παρόμοιο είδος σφάλματος σε πολύ διαφορετική κλίμακα.
Τα συγκεντρωμένα σύνολα δεδομένων μπορούν επίσης να διευκολύνουν τη σύνδεση ξεχωριστών πληροφοριών με ένα άτομο. Μια διεύθυνση email σε μια παραβίαση και ένας αριθμός τηλεφώνου σε μια άλλη είναι λιγότερο χρήσιμα σε έναν εγκληματία από ένα ενιαίο προφίλ που περιέχει και τα δύο.
Γιατί η διαρροή βάσης δεδομένων μιας εταιρείας AI και τα δεδομένα αναγνώρισης προσώπου αποτελούν διαρκές ρίσκο
Τα περισσότερα δεδομένα που διαρρέουν μπορούν να αλλάξουν. Μπορείτε να επαναφέρετε έναν κωδικό πρόσβασης, να ακυρώσετε μια κάρτα ή να αντικαταστήσετε έναν λογαριασμό. Ένα πρόσωπο δεν μπορεί να αντικατασταθεί.
Όταν εκτίθενται εικόνες προσώπων, ειδικά από μια υπηρεσία που βασίζεται στην αντίστροφη αναζήτηση εικόνων και την επαλήθευση ταυτότητας, οι εικόνες μπορεί να συνδέονται με ονόματα ή άλλα στοιχεία ταυτοποίησης. Ο σχολιασμός ασφαλείας για την περίπτωση της ClarityCheck σημειώνει ότι ο κίνδυνος αυξάνεται όταν οι εγκληματίες συνδυάζουν εικόνες προσώπων με άλλες προσωπικές πληροφορίες. Αυτό θα μπορούσε να υποστηρίξει πλαστοπροσωπία, απάτη σε ελέγχους ταυτότητας ή στοχευμένες απάτες.
Υπάρχει επίσης ένας πολλαπλασιαστικός παράγοντας. Αν ένας συγκεντρωτής όπως η Vibetech μπορεί να συλλέξει δεδομένα από πολλαπλές παραβιάσεις, το ίδιο θα μπορούσε να συμβεί και σε ένα σύνολο διαρρευσών εικόνων. Μια μεμονωμένη έκθεση που φαίνεται περιορισμένη μπορεί να μετατραπεί σε μόνιμο μέρος της δεξαμενής δεδομένων που άλλοι μπορούν να συλλέξουν και να επαναχρησιμοποιήσουν.
Τίποτα από αυτά δεν σημαίνει ότι κάθε άτομο σε μια εκτεθειμένη βάση δεδομένων θα γίνει θύμα. Σημαίνει όμως ότι η συνήθης συμβουλή να αλλάξετε τον κωδικό πρόσβασής σας μετά από μια παραβίαση είναι ελλιπής όταν τα εκτεθειμένα δεδομένα είναι βιομετρικά.
Τι σημαίνει αυτό για εσάς: Περιορίζοντας την έκθεσή σας
Δεν μπορείτε να ελέγξετε πώς μια εταιρεία αποθηκεύει δεδομένα που ήδη κατέχει, αλλά μπορείτε να μειώσετε πόσα από τα δικά σας υπάρχουν εκεί έξω και πόσο χρήσιμα θα ήταν αν εκτεθούν.
Ελέγξτε την έκθεσή σας. Αναζητήστε τις διευθύνσεις email και τους αριθμούς τηλεφώνου σας σε ένα αξιόπιστο εργαλείο ειδοποίησης παραβιάσεων. Αν εμφανίζονται, θεωρήστε τους σχετικούς λογαριασμούς ως παραβιασμένους και αλλάξτε αυτούς τους κωδικούς πρόσβασης, χρησιμοποιώντας έναν μοναδικό για κάθε λογαριασμό.
Να είστε επιλεκτικοί με βιομετρικά δεδομένα και μεταφορτώσεις ταυτότητας. Πριν ανεβάσετε μια selfie, ένα διαβατήριο ή μια άδεια οδήγησης σε μια υπηρεσία επαλήθευσης, ρωτήστε αν είναι πραγματικά απαραίτητο. Ελέγξτε τι λέει η εταιρεία για τη διατήρηση και τη διαγραφή. Όπου υπάρχει επιλογή, προτιμήστε μεθόδους που δεν αποθηκεύουν το πρόσωπό σας.
Περιορίστε τις δημόσιες φωτογραφίες. Οι υπηρεσίες αντίστροφης αναζήτησης εικόνων και συλλογής δεδομένων βασίζονται σε εικόνες που είναι εύκολο να βρεθούν. Η αυστηροποίηση των ρυθμίσεων απορρήτου στους λογαριασμούς κοινωνικών δικτύων και η αφαίρεση παλιών δημόσιων φωτογραφιών μειώνει ό,τι μπορεί να συλλεχθεί.
Προσέξτε για επακόλουθες απάτες. Τα διαρρευσμένα προσωπικά στοιχεία συχνά τροφοδοτούν phishing, πλαστοπροσωπία και ψευδείς αιτήσεις επαλήθευσης. Αντιμετωπίστε με extra προσοχή απρόσμενα μηνύματα που αναφέρουν ακριβή προσωπικά στοιχεία και επιβεβαιώστε μέσω επίσημου καναλιού.
Χρησιμοποιήστε ισχυρή προστασία λογαριασμού. Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου είναι διαθέσιμος, ώστε τα εκτεθειμένα διαπιστευτήρια από μόνα τους να είναι λιγότερο χρήσιμα. Ένα VPN μπορεί να προστατεύσει τη σύνδεσή σας από τοπική υποκλοπή, αλλά δεν προστατεύει δεδομένα που μια εταιρεία έχει ήδη αποθηκεύσει και αφήσει εκτεθειμένα.
Βασικά συμπεράσματα
Το ευρύτερο δίδαγμα αυτής της διαρροής βάσης δεδομένων μιας εταιρείας AI και της έκθεσης αναγνώρισης προσώπου είναι ότι τα δεδομένα που έχουν παραβιαστεί δεν εξαφανίζονται. Μπορούν να συλλεχθούν, να συνδυαστούν και να εκτεθούν ξανά, και ένα πρόσωπο είναι το μοναδικό αναγνωριστικό που δεν μπορείτε να επαναφέρετε.
- Ελέγξτε αν το email και ο αριθμός τηλεφώνου σας εμφανίζονται σε γνωστές βάσεις δεδομένων παραβιάσεων και ενημερώστε τυχόν επηρεασμένους κωδικούς πρόσβασης.
- Μοιραστείτε βιομετρικά δεδομένα και έγγραφα ταυτότητας μόνο όταν είναι απαραίτητο και προτιμήστε υπηρεσίες με σαφείς πολιτικές διαγραφής.
- Μειώστε τον αριθμό των δημόσιων φωτογραφιών που συνδέονται με το όνομά σας.
- Μείνετε σε εγρήγορση για απάτες που χρησιμοποιούν πραγματικά προσωπικά στοιχεία.
Για ένα συγκεκριμένο παράδειγμα του τι διακυβεύεται, διαβάστε την αναφορά μας για τη διαρροή εικόνων προσώπων της ClarityCheck και στη συνέχεια αφιερώστε λίγα λεπτά για να αναθεωρήσετε τι έχετε μοιραστεί με υπηρεσίες επαλήθευσης ταυτότητας.
