Valtaisa biometrinen tietovuoto tulee julki

Kyberturvallisuustutkija on paljastanut suojaamattoman pilvitietokannan, joka sisältää yli 9 miljoonaa kasvokuvaa ja liittyy ClarityCheck-palveluun, yhdysvaltalaiseen käänteiseen kuvahakuun ja henkilöllisyyden varmistuspalveluun. Löydöstä kertovan raportoinnin mukaan tutkija Jeremiah Fowler löysi paljastuneen tietokannan, joka oli kooltaan noin 450,2 gigatavua ja sisälsi arviolta 9 042 977 kasvokuvaa sekä niihin liittyviä profiilitietoja.

Tietokanta oli jätetty salaamattomaksi ja ilman salasanasuojausta, mikä tarkoittaa, että kuka tahansa, joka sattui törmäämään siihen verkossa, saattoi mahdollisesti päästä käsiksi sen sisältämiin biometrisiin tietoihin. Koska ClarityCheckin liiketoimintamalli perustuu henkilöllisyyden varmistamiseen ja kasvojen yhdistämiseen verkossa, paljastuneet tiedot sisälsivät todennäköisesti paitsi raakakuvia myös profiilitietoja, jotka liittyivät todellisiin henkilöllisyyksiin, mikä nostaa panoksia huomattavasti verrattuna tyypilliseen sähköposti- tai salasanavuotoon.

Miksi väärin konfiguroidut tietokannat aiheuttavat edelleen massiivisia vuotoja

Tämä tapaus sopii kuvioon, josta on tullut häiritsevän yleinen tietoturvamaailmassa: väärin konfiguroitu, suojaamaton pilvitietokanta. Kun yritykset luottavat yhä enemmän pilvitallennustilaan työntekijöitä, kumppaneita ja asiakkaita koskevien arkaluonteisten tietojen säilyttämisessä, helpon pääsyn ja liiketoimintatiedon työkalujen integroinnin mukavuus tulee usein asianmukaisen tietoturvakonfiguraation kustannuksella. Tietokanta, joka on jätetty avoimeksi ilman todennusvaatimuksia, on käytännössä julkinen riippumatta siitä, kuinka arkaluonteista sen sisältö on.

Se, mikä tekee tästä tietovuodosta erityisen huomionarvoisen, on kyseessä olevan datan luonne. Salasanat voidaan vaihtaa. Luottokorttinumerot voidaan peruuttaa ja myöntää uudelleen. Mutta kasvokuva on pysyvä. Kun tällainen biometrinen data paljastuu, ei ole mitään tapaa vaihtaa kasvojaan samalla tavalla kuin voisi vaihtaa vaarantuneen salasanan. Tämä pysyvyys on se, mikä erottaa kasvojentunnistusvuodot tavallisemmista tunnistetietovuodoista, ja se on syy siihen, miksi tietoturvatutkijat ja yksityisyyden puolestapuhujat suhtautuvat biometrisiin vuotoihin korostuneella huolella.

Myös mittakaava erottuu tässä. Yhdeksän miljoonaa kuvaa on huomattava määrä palvelulle, joka on rakennettu henkilöllisyyden varmistuksen ympärille, toimialalle, jossa koko arvolupaus perustuu luottamukseen siitä, että käsiteltävä data on turvattu asianmukaisesti. Kun henkilöllisyyden varmistusyritys itse tulee vuodon lähteeksi, se horjuttaa koko toimialan perustaa.

Tämä ei ole ensimmäinen kerta lähihistoriassa, kun suuri tietomäärä, joka liittyy tunnettuihin kuluttajille suunnattuihin alustoihin, on päätynyt paljastuneeksi tai varastetuksi. Suuria vähittäiskauppiaita ja muita merkittäviä brändejä koskevat tietomurrot, kuten tapaukset, jotka ovat koskeneet Zaraa, Carnivalia ja 7-Eleveniä, ovat osoittaneet, kuinka nopeasti miljoonat asiakastietueet voivat päätyä vaarantuneiksi kolmannen osapuolen toimittajien tai suojaamattomien järjestelmien kautta. Erillisessä tapauksessa Zaran asiakkaiden sähköpostit paljastuivat kolmannen osapuolen tietomurron kautta, mikä korostaa, kuinka haavoittuvaa data voi olla jopa silloin, kun se kulkee yrityksen luottamien toimittajien kautta. ClarityCheck-vuoto lisää biometrisen datan tuohon kasvavaan luetteloon arkaluonteisia tietoluokkia, jotka ovat vaarassa perustason tietoturvalaiminlyöntien vuoksi.

Mitä tämä tarkoittaa sinulle

Jos olet koskaan käyttänyt käänteistä kuvahakutyökalua, lähettänyt valokuvan henkilöllisyyden varmistusta varten tai jos kuvasi on kerätty ja indeksoitu palvelun, kuten ClarityCheckin, toimesta ilman omaa tietämystäsi, tämä vuoto on muistutus siitä, kuinka vähän hallintaa useimmilla ihmisillä on siitä, mihin heidän kasvodatansa päätyy. Toisin kuin tietomurrossa, joka koskee palvelua, johon olet itse rekisteröitynyt, monet kasvojentunnistusvuotojen kohteeksi joutuneet ihmiset eivät ole koskaan suostuneet siihen, että heidän kuvansa kerätään tai varmistetaan alun perinkään.

Käytännön riski sisältää identiteettivarkauden, koska kasvokuvat yhdistettynä profiilitietoihin voidaan käyttää vakuuttavien väärennettyjen identiteettien rakentamiseen tai pankkien ja muiden laitosten käyttämien kasvojentunnistusjärjestelmien ohittamiseen. Se herättää myös huolta valvonnasta ja luvattomasta profiloinnista, koska kun kuvat ovat paljastuneet verkossa, niitä voidaan kopioida, kerätä ja käyttää uudelleen loputtomasti.

Käytännön toimenpiteet

Vaikka et voi pyyhkiä valokuvaa omista kasvoistasi pois internetistä, on olemassa toimia, joita kannattaa harkita. Tarkista, näkyykö kuvasi käänteisen kuvahaun tuloksissa nimesi yhteydessä, ja pyydä poistoa datanvälittäjä- tai henkilöhaku-sivustoilta, kun se on mahdollista. Ota käyttöön monivaiheinen todennus, joka ei luota pelkästään kasvojentunnistukseen kriittisillä tileillä, kuten pankkitileillä. Ole varovainen sen suhteen, mitkä sovellukset ja palvelut pyytävät kasvotunnistusta, ja lue yksityisyyskäytännöt ymmärtääksesi, kuinka kauan biometristä dataa säilytetään. Pidä lopuksi silmällä identiteetinvalvontapalveluita, jotka voivat hälyttää, jos henkilökohtaiset tietosi, mukaan lukien biometriset tunnisteet, ilmestyvät tulevissa tietomurroissa.

Kun kasvojentunnistus- ja henkilöllisyyden varmistustyökalut integroituvat yhä syvemmin jokapäiväiseen digitaaliseen elämään, ClarityCheck-vuodon kaltaiset tapaukset korostavat, miksi biometristä dataa käsittelevien yritysten on vahvistettava tietoturvan perustasoja ja miksi käyttäjien tulisi pysyä ajan tasalla siitä, mihin heidän henkilökohtaisin datansa – heidän omat kasvonsa – päätyy tallennetuksi.