TechRadarovo izvješće o proboju GovTecha, u kojem je procurilo 42 milijuna dokumenata, donosi i pregled nekoliko drugih izloženih baza podataka. Dvije se posebno ističu. Jedna je tvrtka za razvoj umjetne inteligencije, Vibetech, koja je prikupljala podatke iz ranijih proboja i slučajno ostavila gotovo 14 milijuna zapisa dostupnima na internetu. Druga je usluga obrnutog pretraživanja slika i provjere identiteta koja je izložila više od 9 milijuna slika za prepoznavanje lica. Zajedno, curenje baze podataka AI tvrtke i izloženost podataka za prepoznavanje lica pokazuju kako osobni podaci mogu nastaviti nanositi štetu dugo nakon izvornog incidenta.
Što su sadržavale izložene baze podataka
Dosad objavljeni detalji su ograničeni, pa je važno biti precizan u pogledu onoga što se zna.
Prema izvješću, izloženost Vibetecha obuhvaćala je gotovo 14 milijuna zapisa. Tvrtka je podatke prikupila iz različitih proboja, a oni su zatim slučajno postali dostupni na internetu. Glavni incident GovTecha obuhvaćao je 42 milijuna dokumenata, uključujući tisuće opisanih kao prepunih osobnih podataka.
Treći slučaj odnosio se na slike lica. Više od 9 milijuna izložila je usluga obrnutog pretraživanja slika i provjere identiteta. Naše ranije izvješće o curenju ClarityChecka koje je izložilo 9 milijuna slika lica opisuje kako je istraživač pronašao nezaštićenu bazu podataka u oblaku povezanu s tom uslugom sa sjedištem u SAD-u.
Riječ je o zasebnim incidentima, ali imaju zajednički uzrok: podaci pohranjeni negdje gdje ih nije smio moći dosegnuti bilo tko s internetskom vezom.
Kako agregirani podaci iz proboja završe na internetu
Slučaj Vibetech drugačija je vrsta problema od tipičnog hakerskog napada. Nitko nužno nije provalio. Tvrtka je prikupila informacije iz nekoliko ranijih proboja, smjestila ih na jedno mjesto i potom to mjesto nije zaštitila.
To je važno iz nekoliko razloga:
- Stara curenja dobivaju drugi život. Podaci koji su bili raspršeni po zasebnim incidentima postaju lakši za pretraživanje i korištenje kada se objedine u jednu zbirku.
- Pogođene osobe možda ne znaju. Ako su vaši podaci bili u ranijem proboju, možda nikada nećete saznati da ih je treća strana prikupila i kasnije ponovno izložila.
- Pogrešna konfiguracija je ponavljajući propust. Nezaštićene baze podataka, bilo da je riječ o pohrani u oblaku ili platformama za pretraživanje, stalno se pojavljuju u sigurnosnim istraživanjima. Naše izvješće o 220 milijuna zapisa putnika izloženih u curenju vijetnamskog APIS sustava odnosilo se na nezaštićenu Elasticsearch bazu podataka, sličnu vrstu pogreške u sasvim drugačijim razmjerima.
Objedinjeni skupovi podataka također mogu olakšati povezivanje zasebnih informacija s jednom osobom. Adresa e-pošte iz jednog proboja i broj telefona iz drugog manje su korisni kriminalcu od jedinstvenog profila koji sadrži oboje.
Zašto su curenje baze podataka AI tvrtke i podaci za prepoznavanje lica trajan rizik
Većina procurjelih podataka može se promijeniti. Možete resetirati lozinku, otkazati karticu ili zamijeniti račun. Lice se ne može zamijeniti.
Kada su slike lica izložene, osobito od strane usluge izgrađene oko obrnutog pretraživanja slika i provjere identiteta, slike mogu biti povezane s imenima ili drugim identifikacijskim podacima. Sigurnosni komentari o slučaju ClarityCheck ističu da rizik raste kada kriminalci kombiniraju slike lica s drugim osobnim podacima. To bi moglo poslužiti za lažno predstavljanje, prijevarne provjere identiteta ili ciljane prijevare.
Postoji i kumulativni učinak. Ako agregator poput Vibetecha može prikupljati podatke iz više proboja, isto bi se moglo dogoditi i sa skupom procurjelih slika. Jedna izloženost koja se čini ograničenom može postati trajni dio skupa podataka koje drugi mogu prikupljati i ponovno koristiti.
Ništa od ovoga ne znači da će svaka osoba u izloženoj bazi podataka postati žrtva. Ipak znači da je uobičajeni savjet o promjeni lozinke nakon proboja nepotpun kada su izloženi podaci biometrijski.
Što ovo znači za vas: ograničavanje vlastite izloženosti
Ne možete kontrolirati kako tvrtka pohranjuje podatke koje već posjeduje, ali možete smanjiti koliko je vaših podataka dostupno i koliko bi bili korisni ako budu izloženi.
Provjerite svoju izloženost. Potražite svoje adrese e-pošte i brojeve telefona u pouzdanom alatu za obavijesti o probojima. Ako se pojave, smatrajte povezane račune kompromitiranima i promijenite te lozinke, koristeći jedinstvenu lozinku za svaki račun.
Budite selektivni pri učitavanju biometrijskih podataka i osobnih dokumenata. Prije nego što učitate selfie, putovnicu ili vozačku dozvolu na uslugu provjere, zapitajte se je li to zaista potrebno. Provjerite što tvrtka navodi o čuvanju i brisanju podataka. Gdje postoji izbor, dajte prednost metodama koje ne pohranjuju vaše lice.
Ograničite javne fotografije. Usluge obrnutog pretraživanja slika i prikupljanja podataka oslanjaju se na slike koje je lako pronaći. Pooštravanje postavki privatnosti na društvenim mrežama i uklanjanje starih javnih fotografija smanjuje ono što se može prikupiti.
Pazite na naknadne prijevare. Procurjeli osobni podaci često potiču phishing, lažno predstavljanje i lažne zahtjeve za provjeru. Neočekivane poruke koje sadrže točne osobne podatke tretirajte s dodatnim oprezom i provjerite ih putem službenog kanala.
Koristite snažnu zaštitu računa. Uključite višefaktorsku autentifikaciju gdje je dostupna, kako bi sami izloženi vjerodajnici bili manje korisni. VPN može zaštititi vašu vezu od lokalnog prisluškivanja, ali ne štiti podatke koje je tvrtka već pohranila i ostavila izloženima.
Ključni zaključci
Šira pouka ovog curenja baze podataka AI tvrtke i izloženosti podataka za prepoznavanje lica jest da podaci iz proboja ne nestaju. Mogu se prikupiti, kombinirati i ponovno izložiti, a lice je jedini identifikator koji ne možete resetirati.
- Provjerite pojavljuju li se vaša e-pošta i broj telefona u poznatim bazama podataka o probojima te ažurirajte sve pogođene lozinke.
- Biometrijske podatke i osobne dokumente dijelite samo kada je to nužno i dajte prednost uslugama s jasnim pravilima o brisanju.
- Smanjite broj javnih fotografija povezanih s vašim imenom.
- Budite oprezni prema prijevarama koje koriste stvarne osobne podatke.
Za konkretan primjer onoga što je u pitanju, pročitajte naše izvješće o curenju slika lica ClarityChecka, a zatim odvojite nekoliko minuta da pregledate što ste podijelili s uslugama provjere identiteta.
