TechRadar-raportti GovTech-tietomurrosta, joka vuoti 42 miljoonaa asiakirjaa, kokoaa yhteen myös useita muita paljastuneita tietokantoja. Kaksi erottuu joukosta. Toinen on AI-kehitysyritys Vibetech, joka keräsi tietoja aiemmista tietomurroista ja jätti vahingossa lähes 14 miljoonaa tietuetta saataville verkkoon. Toinen on käänteinen kuvahaku- ja henkilöllisyyden vahvistuspalvelu, joka paljasti yli 9 miljoonaa kasvojentunnistuskuvaa. Yhdessä AI-yrityksen tietokantavuoto ja kasvojentunnistuksen paljastuminen osoittavat, miten henkilötiedot voivat aiheuttaa haittaa vielä kauan alkuperäisen tapauksen jälkeen. ## Mitä paljastuneet tietokannat sisälsivät Toistaiseksi julkaistut yksityiskohdat ovat rajallisia, joten on syytä olla täsmällinen siitä, mitä tiedetään. Raportin mukaan Vibetechin paljastumiseen liittyi lähes 14 miljoonaa tietuetta. Yritys oli kerännyt tiedot eri tietomurroista, ja ne tulivat sen jälkeen vahingossa saataville verkkoon. Otsikoissa ollut GovTech-tapaus käsitti 42 miljoonaa asiakirjaa, mukaan lukien tuhansia, joiden kuvailtiin olevan täynnä henkilötietoja. Kolmas tapaus koski kasvokuvia. Yli 9 miljoonaa paljasti käänteinen kuvahaku- ja henkilöllisyyden vahvistuspalvelu. Aiempi uutisointimme [ClarityCheck-vuodosta, joka paljasti 9 miljoonaa kasvokuvaa](/en/claritycheck-leak-exposes-9-million-facial-images) kuvaa, miten tutkija löysi suojaamattoman pilvitietokannan, joka oli yhteydessä yhdysvaltalaiseen palveluun. Nämä ovat erillisiä tapauksia, mutta niillä on yhteinen syy: tiedot oli tallennettu paikkaan, johon kenenkään ei olisi pitänyt päästä käsiksi internet-yhteydellä. ## Miten kootut tietomurrotiedot päätyvät verkkoon Vibetechin tapaus on erilainen ongelma kuin tyypillinen hakkerointi. Kukaan ei välttämättä murtautunut sisään. Yritys keräsi tietoja useista aiemmista tietomurroista, kokosi ne yhteen paikkaan ja epäonnistui sen paikan suojaamisessa. Tällä on merkitystä muutamasta syystä: - **Vanhat vuodot saavat toisen elämän.** Tiedot, jotka olivat hajallaan erillisissä tapauksissa, tulevat helpommiksi hakea ja käyttää, kun ne kootaan yhteen kokoelmaan. - **Asianomaiset eivät välttämättä tiedä.** Jos tietosi olivat aiemmassa tietomurrossa, et ehkä koskaan saa tietää, että kolmas osapuoli keräsi ne ja paljasti ne myöhemmin uudelleen. - **Väärä konfiguraatio on toistuva ongelma.** Suojaamattomat tietokannat, olivatpa ne pilvitallennusta tai hakualustoja, ilmestyvät jatkuvasti turvallisuustutkimukseen. Uutisointimme [220 miljoonasta matkustajatietueesta, jotka paljastuivat Vietnamin APIS-vuodossa](/en/220m-traveler-records-exposed-in-vietnam-apis-leak) koski suojaamatonta Elasticsearch-tietokantaa, samankaltaista virhettä hyvin eri mittakaavassa. Kootut tietojoukot voivat myös helpottaa erillisten tietojen yhdistämistä yhteen henkilöön. Sähköpostiosoite yhdessä tietomurrossa ja puhelinnumero toisessa ovat rikolliselle vähemmän hyödyllisiä kuin yksittäinen profiili, joka sisältää molemmat. ## Miksi AI-yrityksen tietokantavuoto ja kasvojentunnistustiedot ovat pysyvä riski Suurin osa vuotaneista tiedoista voidaan muuttaa. Voit vaihtaa salasanan, peruuttaa kortin tai vaihtaa tilin. Kasvoja ei voi vaihtaa. Kun kasvokuvat paljastuvat, erityisesti käänteiseen kuvahakuun ja henkilöllisyyden vahvistukseen rakennetun palvelun toimesta, kuvat voivat olla yhdistettyinä nimiin tai muihin tunnistetietoihin. ClarityCheck-tapausta koskeva turvallisuuskommentaari huomauttaa, että riski kasvaa, kun rikolliset yhdistävät kasvokuvia muihin henkilötietoihin. Tämä voi tukea henkilöllisyyden väärentämistä, petollisia henkilöllisyystarkistuksia tai kohdennettuja huijauksia. On myös kumuloituva vaikutus. Jos kokoaja kuten Vibetech voi kerätä tietoja useista tietomurroista, sama voi tapahtua joukolle vuotaneita kuvia. Yksittäinen paljastuminen, joka näyttää rajautuvan, voi muuttua pysyväksi osaksi tietopoolia, jota muut voivat kerätä ja käyttää uudelleen. Mikään tästä ei tarkoita, että jokaisesta paljastuneessa tietokannassa olevasta henkilöstä tulisi uhri. Se tarkoittaa, että tavallinen neuvo vaihtaa salasana tietomurron jälkeen on puutteellinen, kun paljastuneet tiedot ovat biometrisiä. ## Mitä tämä tarkoittaa sinulle: altistumisesi rajoittaminen Et voi hallita sitä, miten yritys tallentaa jo hallussaan olevia tietoja, mutta voit vähentää sitä, kuinka paljon tietojasi on liikkeellä ja kuinka hyödyllisiä ne olisivat, jos ne paljastuisivat. **Tarkista altistumisesi.** Etsi sähköpostiosoitteesi ja puhelinnumerosi luotettavasta tietomurtoilmoitustyökalusta. Jos ne löytyvät, kohtele niihin liittyviä tilejä vaarantuneina ja vaihda niiden salasanat käyttäen yksilöllistä salasanaa jokaiselle tilille. **Ole valikoiva biometristen tietojen ja henkilötodistusten lataamisessa.** Ennen kuin lataat selfien, passin tai ajokortin vahvistuspalveluun, kysy, onko se todella tarpeen. Tarkista, mitä yritys sanoo tietojen säilytyksestä ja poistamisesta. Jos vaihtoehtoja on, suosi menetelmiä, jotka eivät tallenna kasvojasi. **Rajoita julkisia kuvia.** Käänteinen kuvahaku ja kaapimispalvelut nojaavat kuviin, jotka on helppo löytää. Sosiaalisten tilien tietosuoja-asetusten kiristäminen ja vanhojen julkisten kuvien poistaminen vähentää sitä, mitä voidaan kerätä. **Varo jatkohuijauksia.** Vuodetut henkilötiedot ruokkivat usein tietojenkalastelua, henkilöllisyyden väärentämistä ja väärennettyjä vahvistuspyyntöjä. Suhtaudu erityisen varovaisesti odottamattomiin viesteihin, jotka viittaavat oikeisiin henkilötietoihin, ja vahvista virallisen kanavan kautta. **Käytä vahvaa tilisuojausta.** Ota monivaiheinen todennus käyttöön, kun se on saatavilla, jotta pelkät paljastuneet tunnistetiedot ovat vähemmän hyödyllisiä. VPN voi suojata yhteytesi paikalliselta nuuskimiselta, mutta se ei suojaa tietoja, jotka yritys on jo tallentanut ja jättänyt paljastetuiksi. ## Keskeiset opetukset Tämän AI-yrityksen tietokantavuodon ja kasvojentunnistuksen paljastumisen laajempi opetus on, että murretut tiedot eivät katoa. Ne voidaan kerätä, yhdistää ja paljastaa uudelleen, ja kasvot ovat ainoa tunniste, jota et voi nollata. 1. Tarkista, esiintyvätkö sähköpostiosoitteesi ja puhelinnumerosi tunnetuissa tietomurrotietokannoissa, ja päivitä kaikki affected salasanat. 2. Jaa biometrisiä tietoja ja henkilötodistuksia vain silloin, kun se on tarpeen, ja suosi palveluita, joilla on selkeät poistokäytännöt. 3. Vähennä nimiisi yhdistettävissä olevien julkisten kuvien määrää. 4. Pysy valppaana huijauksille, jotka käyttävät oikeita henkilötietoja. Konkreettisen esimerkin siitä, mistä on kyse, saat lukemalla raporttimme [ClarityCheckin kasvokuvavuodosta](/en/claritycheck-leak-exposes-9-million-facial-images), ja käytä sitten muutama minuutti sen tarkistamiseen, mitä olet jakanut henkilöllisyyden vahvistuspalveluille.