Un rapport de TechRadar sur une violation de données chez GovTech ayant entraîné la fuite de 42 millions de documents fait également le point sur plusieurs autres bases de données exposées. Deux se distinguent. L'une est une entreprise de développement d'IA, Vibetech, qui a collecté des données issues de violations antérieures et a accidentellement laissé près de 14 millions d'enregistrements accessibles en ligne. L'autre est un service de recherche d'images inversée et de vérification d'identité qui a exposé plus de 9 millions d'images de reconnaissance faciale. Pris ensemble, la fuite de base de données de l'entreprise d'IA et l'exposition de données de reconnaissance faciale montrent comment les données personnelles peuvent continuer à causer des préjudices bien après l'incident initial.
Ce que contenaient les bases de données exposées
Les détails publiés jusqu'à présent sont limités, il convient donc d'être précis sur ce que l'on sait.
Selon le rapport, l'exposition de Vibetech concernait près de 14 millions d'enregistrements. L'entreprise avait rassemblé les données à partir de différentes violations, et elles sont ensuite devenues accessibles en ligne par accident. L'incident principal chez GovTech concernait 42 millions de documents, dont des milliers décrits comme remplis d'informations personnelles.
Le troisième cas concernait des images faciales. Plus de 9 millions ont été exposées par un service de recherche d'images inversée et de vérification d'identité. Notre précédente couverture de la fuite de ClarityCheck exposant 9 millions d'images faciales décrit comment un chercheur a découvert une base de données cloud non sécurisée liée au service basé aux États-Unis.
Il s'agit d'incidents distincts, mais ils partagent une cause : des données stockées à un endroit où elles n'auraient jamais dû être accessibles à quiconque disposant d'une connexion Internet.
Comment les données agrégées de violations finissent en ligne
Le cas Vibetech est un type de problème différent d'un piratage classique. Personne ne s'est nécessairement introduit par effraction. Une entreprise a collecté des informations issues de plusieurs violations antérieures, les a regroupées en un seul endroit, puis n'a pas sécurisé cet endroit.
Cela importe pour plusieurs raisons :
- Les anciennes fuites connaissent une seconde vie. Des données qui étaient dispersées across des incidents distincts deviennent plus faciles à rechercher et à utiliser une fois compilées en une seule collection.
- Les personnes concernées peuvent l'ignorer. Si vos informations figuraient dans une violation antérieure, vous pourriez ne jamais apprendre qu'un tiers les a rassemblées et les a ensuite exposées à nouveau.
- Les erreurs de configuration sont une défaillance récurrente. Les bases de données non sécurisées, qu'il s'agisse de stockage cloud ou de plateformes de recherche, ne cessent d'apparaître dans la recherche en sécurité. Notre couverture des 220 millions d'enregistrements de voyageurs exposés dans une fuite APIS au Vietnam concernait une base de données Elasticsearch non sécurisée, un type d'erreur similaire à une échelle très différente.
Les jeux de données compilés peuvent également faciliter le lien entre différents éléments d'information et une même personne. Une adresse e-mail issue d'une violation et un numéro de téléphone issu d'une autre sont moins utiles à un criminel qu'un profil unique contenant les deux.
Pourquoi une fuite de base de données d'une entreprise d'IA et des données de reconnaissance faciale constituent un risque durable
La plupart des données divulguées peuvent être modifiées. Vous pouvez réinitialiser un mot de passe, annuler une carte ou remplacer un compte. Un visage ne peut pas être remplacé.
Lorsque des images faciales sont exposées, en particulier par un service centré sur la recherche d'images inversée et la vérification d'identité, les images peuvent être liées à des noms ou à d'autres détails identifiants. Les analyses de sécurité sur le cas ClarityCheck notent que le risque augmente lorsque les criminels combinent des images faciales avec d'autres informations personnelles. Cela pourrait faciliter l'usurpation d'identité, des vérifications d'identité frauduleuses ou des arnaques ciblées.
Il existe également un effet cumulatif. Si un agrégateur comme Vibetech peut collecter des données issues de multiples violations, la même chose pourrait se produire avec un ensemble d'images divulguées. Une seule exposition qui semble circonscrite peut devenir une partie permanente du pool de données que d'autres peuvent collecter et réutiliser.
Rien de tout cela ne signifie que chaque personne figurant dans une base de données exposée deviendra une victime. Cela signifie en revanche que le conseil habituel de changer votre mot de passe après une violation est incomplet lorsque les données exposées sont biométriques.
Ce que cela signifie pour vous : limiter votre exposition
Vous ne pouvez pas contrôler la manière dont une entreprise stocke les données qu'elle détient déjà, mais vous pouvez réduire la quantité des vôtres qui circulent et leur utilité en cas d'exposition.
Vérifiez votre exposition. Recherchez vos adresses e-mail et numéros de téléphone dans un outil réputé de notification de violations. S'ils apparaissent, considérez les comptes associés comme compromis et changez ces mots de passe, en utilisant un mot de passe unique pour chaque compte.
Soyez sélectif avec les téléchargements biométriques et de pièces d'identité. Avant de télécharger un selfie, un passeport ou un permis de conduire sur un service de vérification, demandez-vous si c'est vraiment nécessaire. Vérifiez ce que l'entreprise déclare sur la conservation et la suppression. Lorsqu'il y a un choix, préférez les méthodes qui ne stockent pas votre visage.
Limitez les photos publiques. Les services de recherche d'images inversée et de scraping s'appuient sur des images faciles à trouver. Renforcer les paramètres de confidentialité sur les comptes sociaux et supprimer les anciennes photos publiques réduit ce qui peut être collecté.
Surveillez les arnaques consécutives. Les détails personnels divulgués alimentent souvent l'hameçonnage, l'usurpation d'identité et les fausses demandes de vérification. Traitez avec une prudence accrue les messages inattendus qui mentionnent des détails personnels exacts, et confirmez par un canal officiel.
Utilisez une protection de compte robuste. Activez l'authentification multifacteur lorsqu'elle est disponible, afin que les identifiants exposés seuls soient moins utiles. Un VPN peut protéger votre connexion contre l'espionnage local, mais il ne protège pas les données qu'une entreprise a déjà stockées et laissées exposées.
Points clés à retenir
La leçon plus large de cette fuite de base de données d'une entreprise d'IA et de l'exposition de données de reconnaissance faciale est que les données compromises ne disparaissent pas. Elles peuvent être collectées, combinées et exposées à nouveau, et un visage est le seul identifiant que vous ne pouvez pas réinitialiser.
- Vérifiez si votre adresse e-mail et votre numéro de téléphone apparaissent dans des bases de données de violations connues, et mettez à jour les mots de passe concernés.
- Ne partagez des données biométriques et des documents d'identité que lorsque c'est nécessaire, et préférez les services ayant des politiques de suppression claires.
- Réduisez le nombre de photos publiques liées à votre nom.
- Restez vigilant face aux arnaques qui utilisent de vrais détails personnels.
Pour un exemple concret de ce qui est en jeu, lisez notre rapport sur la fuite d'images faciales de ClarityCheck, puis prenez quelques minutes pour examiner ce que vous avez partagé avec les services de vérification d'identité.
