Egy TechRadar-jelentés egy GovTech-adatszivárgásról, amely 42 millió dokumentumot tett közzé, több más kitett adatbázist is összefoglal. Kettő kiemelkedik. Az egyik egy AI-fejlesztő cég, a Vibetech, amely korábbi adatszivárgásokból gyűjtött adatokat, és véletlenül közel 14 millió rekordot tett elérhetővé online. A másik egy fordított képmás kereső és személyazonosság-ellenőrző szolgáltatás, amely több mint 9 millió arcfelismerési képet tett közzé. Együttvéve az AI cég adatbázis-szivárgása és az arcfelismerési adatok kitettsége megmutatja, hogyan okozhat a személyes adat kárt jóval az eredeti incidens után is. ## Mit tartalmaztak a kitett adatbázisok Az eddig közzétett részletek korlátozottak, ezért érdemes pontosan tisztázni, mi ismert. A jelentés szerint a Vibetech-kitettség közel 14 millió rekordot érintett. A cég különböző adatszivárgásokból gyűjtötte össze az adatokat, amelyek aztán véletlenül online elérhetővé váltak. A fő GovTech-incidens 42 millió dokumentumot érintett, köztük több ezret, amelyeket személyes információkkal telinek írtak le. A harmadik eset arcképeket érintett. Több mint 9 milliót tett közzé egy fordított képmás kereső és személyazonosság-ellenőrző szolgáltatás. Korábbi cikkünk a [ClarityCheck-szivárgásról, amely 9 millió arcképet tett közzé](/en/claritycheck-leak-exposes-9-million-facial-images) leírja, hogyan talált egy kutató egy nem biztonságos felhőadatbázist, amely a US-alapú szolgáltatáshoz kapcsolódott. Ezek különálló incidensek, de közös az okuk: az adatokat olyan helyen tárolták, ahol nem lettek volna elérhetők bárki számára, akinek internetkapcsolata van. ## Hogyan kerül az összesített szivárgási adat online A Vibetech-eset másfajta probléma, mint egy tipikus hackelés. Senki nem tört be feltétlenül. Egy cég több korábbi adatszivárgásból gyűjtött információkat, egy helyre tette őket, majd nem biztosította azt a helyet. Ez több okból számít: - **A régi szivárgások második életet kapnak.** Az adatok, amelyek különálló incidensekben szóródtak szét, könnyebben kereshetők és használhatók, ha egy gyűjteménybe összesítik őket. - **Az érintettek nem feltétlenül tudnak róla.** Ha az adataid egy korábbi szivárgásban voltak, lehet, hogy soha nem szerzel tudomást arról, hogy egy harmadik fél összegyűjtötte és később újra kitette őket. - **A hibás konfiguráció visszatérő hiba.** A nem biztonságos adatbázisok – legyen szó felhőtárhelyről vagy keresőplatformokról – folyamatosan felbukkannak a biztonsági kutatásokban. A [220 millió utasrekordot érintő vietnámi APIS-szivárgásról](/en/220m-traveler-records-exposed-in-vietnam-apis-leak) szóló cikkünk egy nem biztonságos Elasticsearch-adatbázist érintett, hasonló típusú hiba, nagyon más léptékben. Az összesített adathalmazok megkönnyíthetik a különálló információk egy személyhez kapcsolását is. Egy e-mail-cím az egyik szivárgásból és egy telefonszám a másikból kevésbé hasznos egy bűnöző számára, mint egyetlen profil, amely mindkettőt tartalmazza. ## Miért jelentenek tartós kockázatot az AI cég adatbázis-szivárgása és az arcfelismerési adatok A legtöbb kiszivárgott adat megváltoztatható. Visszaállíthatsz egy jelszót, letilthatsz egy kártyát, vagy lecserélhetsz egy fiókot. Az arcot nem lehet lecserélni. Amikor arcképek kerülnek ki, különösen egy fordított képmás keresésre és személyazonosság-ellenőrzésre épülő szolgáltatás esetében, a képek nevekhez vagy más azonosító adatokhoz kapcsolódhatnak. A ClarityCheck-esetről szóló biztonsági kommentárok megjegyzik, hogy a kockázat növekszik, amikor a bűnözők arcképeket más személyes információkkal kombinálnak. Ez elősegítheti a személyiséghamisítást, a csalárd személyazonosság-ellenőrzéseket vagy a célzott átveréseket. Van egy halmozódó hatás is. Ha egy aggregátor, mint a Vibetech, több szivárgásból tud adatokat gyűjteni, ugyanez megtörténhet egy kiszivárgott képcsomaggal is. Egyetlen kitettség, amely zártnak tűnik, egy mások által gyűjthető és újrahasznosítható adatállomány állandó részévé válhat. Mindez nem jelenti azt, hogy egy kitett adatbázisban szereplő minden ember áldozattá válik. Azt jelenti, hogy a szokásos tanács – miszerint adatszivárgás után változtass jelszót – hiányos, ha a kitett adat biometrikus. ## Mit jelent ez számodra: a kitettséged korlátozása Nem irányíthatod, hogyan tárol egy cég olyan adatokat, amelyek már a birtokában vannak, de csökkentheted, mennyi adatod van kint, és mennyire lenne hasznos, ha kikerülne. **Ellenőrizd a kitettségedet.** Keresd meg az e-mail-címeidet és telefonszámaidat egy megbízható adatszivárgás-értesítő eszközben. Ha megjelennek, tekintsd a kapcsolódó fiókokat kompromittáltként, és változtasd meg a jelszavaikat, minden fiókhoz egyedi jelszót használva. **Légy válogatós a biometrikus és személyazonosító feltöltésekkel.** Mielőtt feltöltenél egy szelfit, útlevelet vagy jogosítványt egy ellenőrző szolgáltatásba, kérdezd meg, valóban szükséges-e. Nézd meg, mit mond a cég a megőrzésről és a törlésről. Ahol van választási lehetőség, részesítsd előnyben azokat a módszereket, amelyek nem tárolják az arcodat. **Korlátozd a nyilvános fotókat.** A fordított képmás kereső és a kaparó szolgáltatások a könnyen megtalálható képekre támaszkodnak. A közösségi fiókok adatvédelmi beállításainak szigorítása és a régi nyilvános fotók eltávolítása csökkenti, mi gyűjthető össze. **Figyelj a kapcsolódó csalásokra.** A kiszivárgott személyes adatok gyakran táplálják az adathalászatot, a személyiséghamisítást és a hamis ellenőrzési kéréseket. Kezeld különös óvatossággal a váratlan üzeneteket, amelyek pontos személyes adatokra hivatkoznak, és erősítsd meg őket hivatalos csatornán keresztül. **Használj erős fiókvédelmet.** Kapcsold be a többfaktoros hitelesítést, ahol elérhető, hogy a kiszivárgott hitelesítő adatok önmagukban kevésbé legyenek hasznosak. Egy VPN megvédheti a kapcsolatodat a helyi lehallgatástól, de nem védi meg azokat az adatokat, amelyeket egy cég már tárolt és kitett. ## Fő tanulságok Az AI cég adatbázis-szivárgásának és az arcfelismerési kitettségnek a tágabb tanulsága, hogy a kiszivárgott adatok nem tűnnek el. Összegyűjthetők, kombinálhatók és újra kitettek lehetnek, és az arc az egyetlen azonosító, amelyet nem lehet visszaállítani. 1. Ellenőrizd, hogy az e-mail-címed és telefonszámod szerepel-e ismert adatszivárgási adatbázisokban, és frissítsd az érintett jelszavakat. 2. Csak szükség esetén oszd meg a biometrikus adatokat és személyazonosító dokumentumokat, és részesítsd előnyben a világos törlési szabályzattal rendelkező szolgáltatásokat. 3. Csökkentsd a nevedhez kapcsolódó nyilvános fotók számát. 4. Maradj éber a valódi személyes adatokat használó csalásokkal szemben. A tét konkrét példájáért olvasd el a [ClarityCheck arckép-szivárgásáról](/en/claritycheck-leak-exposes-9-million-facial-images) szóló jelentésünket, majd szánj néhány percet annak áttekintésére, mit osztottál meg személyazonosság-ellenőrző szolgáltatásokkal.