Un informe de TechRadar sobre una brecha en GovTech que filtró 42 millones de documentos también recopila otras bases de datos expuestas. Dos destacan. Una es una empresa de desarrollo de IA, Vibetech, que recopiló datos de brechas anteriores y dejó accidentalmente casi 14 millones de registros accesibles en línea. La otra es un servicio de búsqueda inversa de imágenes y verificación de identidad que expuso más de 9 millones de imágenes de reconocimiento facial. En conjunto, la filtración de la base de datos de la empresa de IA y la exposición del reconocimiento facial muestran cómo los datos personales pueden seguir causando daños mucho tiempo después del incidente original.
Qué contenían las bases de datos expuestas
Los detalles publicados hasta ahora son limitados, por lo que vale la pena ser preciso sobre lo que se sabe.
Según el informe, la exposición de Vibetech involucró casi 14 millones de registros. La empresa había reunido los datos de diferentes brechas, y luego estos quedaron accesibles en línea por accidente. El incidente principal de GovTech involucró 42 millones de documentos, incluidos miles descritos como repletos de información personal.
El tercer caso involucró imágenes faciales. Más de 9 millones fueron expuestas por un servicio de búsqueda inversa de imágenes y verificación de identidad. Nuestra cobertura anterior de la filtración de ClarityCheck que expuso 9 millones de imágenes faciales describe cómo un investigador encontró una base de datos en la nube sin protección vinculada al servicio con sede en EE. UU.
Estos son incidentes separados, pero comparten una causa: datos almacenados en un lugar donde no deberían haber sido accesibles para cualquiera con una conexión a internet.
Cómo los datos agregados de brechas terminan en línea
El caso de Vibetech es un tipo de problema diferente al de un hackeo típico. Nadie necesariamente irrumpió. Una empresa recopiló información de varias brechas anteriores, la colocó en un solo lugar y luego no protegió ese lugar.
Eso importa por varias razones:
- Las filtraciones antiguas obtienen una segunda vida. Los datos que estaban dispersos en incidentes separados se vuelven más fáciles de buscar y usar una vez que se compilan en una sola colección.
- Las personas afectadas pueden no saberlo. Si tus datos estuvieron en una brecha anterior, puede que nunca te enteres de que un tercero los recopiló y luego los expuso nuevamente.
- La mala configuración es un fallo recurrente. Las bases de datos sin protección, ya sea almacenamiento en la nube o plataformas de búsqueda, siguen apareciendo en la investigación de seguridad. Nuestra cobertura de los 220 millones de registros de viajeros expuestos en una filtración de APIS de Vietnam involucró una base de datos de Elasticsearch sin protección, un tipo similar de error a una escala muy diferente.
Los conjuntos de datos compilados también pueden facilitar la vinculación de piezas separadas de información a una sola persona. Una dirección de correo electrónico en una brecha y un número de teléfono en otra son menos útiles para un criminal que un único perfil que contenga ambos.
Por qué la filtración de la base de datos de una empresa de IA y los datos de reconocimiento facial son un riesgo duradero
La mayoría de los datos filtrados se pueden cambiar. Puedes restablecer una contraseña, cancelar una tarjeta o reemplazar una cuenta. Una cara no se puede reemplazar.
Cuando se exponen imágenes faciales, particularmente por un servicio construido en torno a la búsqueda inversa de imágenes y la verificación de identidad, las imágenes pueden estar vinculadas a nombres u otros detalles identificativos. Los comentarios de seguridad sobre el caso ClarityCheck señalan que el riesgo aumenta cuando los criminales combinan imágenes faciales con otra información personal. Eso podría facilitar la suplantación de identidad, las verificaciones de identidad fraudulentas o las estafas dirigidas.
También hay un efecto acumulativo. Si un agregador como Vibetech puede recopilar datos de múltiples brechas, lo mismo podría suceder con un conjunto de imágenes filtradas. Una sola exposición que parece contenida puede convertirse en una parte permanente del conjunto de datos que otros pueden recopilar y reutilizar.
Nada de esto significa que cada persona en una base de datos expuesta se convertirá en víctima. Sí significa que el consejo habitual de cambiar tu contraseña después de una brecha es incompleto cuando los datos expuestos son biométricos.
Qué significa esto para ti: limitar tu exposición
No puedes controlar cómo una empresa almacena los datos que ya posee, pero puedes reducir cuánto de lo tuyo está ahí fuera y cuán útil sería si se expusiera.
Verifica tu exposición. Busca tus direcciones de correo electrónico y números de teléfono en una herramienta de notificación de brechas de reputación confiable. Si aparecen, trata las cuentas asociadas como comprometidas y cambia esas contraseñas, usando una única para cada cuenta.
Sé selectivo con las cargas biométricas y de identificación. Antes de subir una selfi, pasaporte o licencia de conducir a un servicio de verificación, pregunta si realmente es necesario. Verifica lo que la empresa dice sobre la retención y eliminación. Cuando haya una opción, prefiere métodos que no almacenen tu rostro.
Limita las fotos públicas. Los servicios de búsqueda inversa de imágenes y de scraping dependen de imágenes que son fáciles de encontrar. Restringir la configuración de privacidad en las cuentas sociales y eliminar fotos públicas antiguas reduce lo que se puede recopilar.
Estate atento a las estafas derivadas. Los datos personales filtrados a menudo alimentan el phishing, la suplantación de identidad y las solicitudes de verificación falsas. Trata los mensajes inesperados que hagan referencia a datos personales precisos con especial cautela, y confírmalos a través de un canal oficial.
Usa una protección de cuenta sólida. Activa la autenticación multifactor cuando esté disponible, para que las credenciales expuestas por sí solas sean menos útiles. Una VPN puede proteger tu conexión de la curiosidad local, pero no protege los datos que una empresa ya ha almacenado y dejado expuestos.
Conclusiones clave
La lección más amplia de esta filtración de la base de datos de una empresa de IA y la exposición del reconocimiento facial es que los datos comprometidos no desaparecen. Se pueden recopilar, combinar y exponer nuevamente, y una cara es el único identificador que no puedes restablecer.
- Verifica si tu correo electrónico y número de teléfono aparecen en bases de datos de brechas conocidas, y actualiza cualquier contraseña afectada.
- Comparte datos biométricos y documentos de identidad solo cuando sea necesario, y prefiere servicios con políticas de eliminación claras.
- Reduce la cantidad de fotos públicas vinculadas a tu nombre.
- Mantente alerta a las estafas que usan datos personales reales.
Para un ejemplo concreto de lo que está en juego, lee nuestro informe sobre la filtración de imágenes faciales de ClarityCheck, luego tómate unos minutos para revisar lo que has compartido con los servicios de verificación de identidad.
