Ogromno Izlaganje Biometrijskih Podataka Izlazi na Vidjelo
Sigurnosni istraživač otkrio je nezaštićenu bazu podataka u oblaku koja sadrži više od 9 milijuna fotografija lica povezanih s ClarityCheckom, američkom uslugom za obrnuto pretraživanje slika i provjeru identiteta. Prema izvješćima o otkriću, istraživač Jeremiah Fowler pronašao je izloženu bazu podataka veličine otprilike 450,2 GB, koja sadrži procijenjenih 9.042.977 fotografija lica zajedno s povezanim podacima profila.
Baza podataka ostavljena je nešifrirana i bez zaštite lozinkom, što znači da je svatko tko je slučajno naišao na nju online mogao potencijalno pristupiti biometrijskim zapisima unutar nje. Budući da se poslovni model ClarityChecka temelji na provjeri identiteta i usklađivanju lica na internetu, izloženi podaci vjerojatno su uključivali ne samo sirove fotografije već i podatke profila povezane sa stvarnim identitetima, što znatno povećava ozbiljnost situacije u usporedbi s tipičnim propuštanjem lozinki ili e-pošte.
Zašto Pogrešno Konfigurirane Baze Podataka i Dalje Uzrokuju Ogromna Propuštanja
Ovaj incident uklapa se u obrazac koji je postao zabrinjavajuće uobičajen u svijetu sigurnosti podataka: pogrešno konfigurirana, nezaštićena baza podataka u oblaku. Kako se tvrtke sve više oslanjaju na pohranu u oblaku za čuvanje osjetljivih podataka o zaposlenicima, partnerima i kupcima, pogodnost lakog pristupa i integracije s alatima za poslovnu inteligenciju često dolazi po cijenu pravilne sigurnosne konfiguracije. Baza podataka ostavljena otvorena bez zahtjeva za autentifikaciju zapravo je javna, bez obzira na to koliko su osjetljivi njeni sadržaji.
Ono što ovo izlaganje čini posebno značajnim jest priroda uključenih podataka. Lozinke se mogu resetirati. Brojevi kreditnih kartica mogu se poništiti i ponovno izdati. Ali fotografija lica je trajna. Jednom kada su biometrijski podaci poput ovih izloženi, ne postoji način da promijenite svoje lice kao što biste promijenili kompromitiranu lozinku. Ta trajnost je ono što razlikuje propuštanja prepoznavanja lica od rutinskijih kompromitacija vjerodajnica, i razlog je zašto sigurnosni istraživači i zagovornici privatnosti tretiraju biometrijska izlaganja s povećanom razinom zabrinutosti.
Razmjer ovdje također se ističe. Devet milijuna slika značajan je broj za uslugu izgrađenu oko provjere identiteta, sektor u kojem cijela vrijednosna ponuda ovisi o povjerenju da se podaci koji se obrađuju čuvaju na siguran način. Kada sama tvrtka za provjeru identiteta postane izvor propuštanja, to potkopava samu premisu na kojoj je industrija izgrađena.
Ovo nije prvi put u novije vrijeme da je velika količina zapisa povezanih s poznatim platformama okrenutim potrošačima završila izložena ili ukradena. Propuštanja koja uključuju trgovce i druge velike brendove, poput incidenata koji su pogodili Zaru, Carnival i 7-Eleven, pokazala su koliko brzo milijuni zapisa o kupcima mogu biti kompromitirani putem vanjskih dobavljača ili nezaštićenih sustava. U zasebnom slučaju, e-adrese kupaca Zare izložene su kroz propuštanje treće strane, naglašavajući koliko podaci mogu biti ranjivi čak i kada prolaze kroz dobavljače kojima tvrtka vjeruje. Izlaganje ClarityChecka dodaje biometrijske podatke toj rastućoj listi kategorija osjetljivih informacija koje su ugrožene osnovnim sigurnosnim propustima.
Što To Znači Za Vas
Ako ste ikada koristili alat za obrnuto pretraživanje slika, poslali fotografiju za provjeru identiteta ili vam je slika skenirana i indeksirana od strane usluge poput ClarityChecka bez vašeg izravnog znanja, ovo propuštanje podsjetnik je na to koliko malo kontrole većina ljudi ima nad time gdje završe njihovi podaci o licu. Za razliku od propuštanja podataka koje uključuje uslugu za koju ste se izravno prijavili, mnogi ljudi pogođeni propuštanjima prepoznavanja lica nikada nisu pristali na prikupljanje ili provjeru svoje slike.
Praktični rizik uključuje krađu identiteta, budući da se fotografije lica u kombinaciji s podacima profila mogu koristiti za izgradnju uvjerljivih lažnih identiteta ili zaobilaženje sustava za provjeru lica koje koriste banke i druge institucije. To također izaziva zabrinutost oko nadzora i neovlaštenog profiliranja, budući da kada su slike jednom izložene online, mogu se kopirati, skenirati i ponovno koristiti neograničeno.
Praktični Zaključci
Iako ne možete izbrisati fotografiju vlastitog lica s interneta, postoje koraci koje vrijedi poduzeti. Provjerite pojavljuje li se vaša slika u rezultatima obrnutog pretraživanja slika za vaše ime i zatražite uklanjanje s web stranica posrednika u podacima ili za pretragu osoba gdje je to moguće. Omogućite višefaktorsku autentifikaciju koja se ne oslanja isključivo na prepoznavanje lica za kritične račune poput bankovnih. Budite oprezni s aplikacijama i uslugama koje zahtijevaju skeniranje lica i pročitajte politike privatnosti kako biste razumjeli koliko dugo se biometrijski podaci čuvaju. Konačno, pratite usluge za praćenje identiteta koje vas mogu upozoriti ako se vaši osobni podaci, uključujući biometrijske identifikatore, pojave u budućim propuštanjima.
Kako alati za prepoznavanje lica i provjeru identiteta postaju sve više ugrađeni u svakodnevni digitalni život, incidenti poput izlaganja ClarityChecka naglašavaju zašto tvrtke koje rukuju biometrijskim podacima trebaju jače sigurnosne osnove i zašto korisnici trebaju ostati informirani o tome gdje njihovi najosobniji podaci, njihovo vlastito lice, završavaju pohranjeni.
