Laporan TechRadar tentang pelanggaran GovTech yang membocorkan 42 juta dokumen juga merangkum beberapa database lain yang terekspos. Dua di antaranya menonjol. Salah satunya adalah perusahaan pengembangan AI, Vibetech, yang mengumpulkan data dari pelanggaran sebelumnya dan secara tidak sengaja membiarkan hampir 14 juta catatan dapat diakses secara online. Yang lainnya adalah layanan pencarian gambar terbalik dan verifikasi identitas yang mengekspos lebih dari 9 juta gambar pengenalan wajah. Jika digabungkan, kebocoran database perusahaan AI dan eksposur pengenalan wajah menunjukkan bagaimana data pribadi dapat terus menimbulkan kerugian jauh setelah insiden awal.
Apa yang terkandung dalam database yang terekspos
Detail yang dipublikasikan sejauh ini terbatas, jadi penting untuk bersikap tepat tentang apa yang diketahui.
Menurut laporan tersebut, eksposur Vibetech melibatkan hampir 14 juta catatan. Perusahaan telah mengumpulkan data dari berbagai pelanggaran, dan kemudian data tersebut dapat diakses secara online secara tidak sengaja. Insiden GovTech yang menjadi berita utama melibatkan 42 juta dokumen, termasuk ribuan yang digambarkan penuh dengan informasi pribadi.
Kasus ketiga melibatkan gambar wajah. Lebih dari 9 juta terekspos oleh layanan pencarian gambar terbalik dan verifikasi identitas. Liputan kami sebelumnya tentang kebocoran ClarityCheck yang mengekspos 9 juta gambar wajah menjelaskan bagaimana seorang peneliti menemukan database cloud yang tidak aman yang terkait dengan layanan yang berbasis di AS tersebut.
Ini adalah insiden yang terpisah, tetapi keduanya berbagi penyebab yang sama: data disimpan di tempat yang seharusnya tidak dapat diakses oleh siapa pun yang memiliki koneksi internet.
Bagaimana data pelanggaran yang teragregasi berakhir secara online
Kasus Vibetech adalah jenis masalah yang berbeda dari peretasan biasa. Tidak ada yang perlu membobol masuk. Sebuah perusahaan mengumpulkan informasi dari beberapa pelanggaran sebelumnya, menempatkannya di satu tempat, dan kemudian gagal mengamankan tempat tersebut.
Itu penting karena beberapa alasan:
- Kebocoran lama mendapat kehidupan kedua. Data yang tersebar di berbagai insiden terpisah menjadi lebih mudah dicari dan digunakan setelah dikompilasi menjadi satu koleksi.
- Orang-orang yang terdampak mungkin tidak mengetahuinya. Jika detail Anda ada dalam pelanggaran sebelumnya, Anda mungkin tidak akan pernah tahu bahwa pihak ketiga mengumpulkannya dan kemudian mengeksposnya lagi.
- Kesalahan konfigurasi adalah kegagalan yang berulang. Database yang tidak aman, baik penyimpanan cloud maupun platform pencarian, terus muncul dalam penelitian keamanan. Liputan kami tentang 220 juta catatan pelancong yang terekspos dalam kebocoran APIS Vietnam melibatkan database Elasticsearch yang tidak aman, jenis kesalahan serupa pada skala yang sangat berbeda.
Kumpulan data yang dikompilasi juga dapat mempermudah untuk menautkan potongan informasi terpisah ke satu orang. Alamat email dalam satu pelanggaran dan nomor telepon dalam pelanggaran lain kurang berguna bagi penjahat dibandingkan satu profil tunggal yang berisi keduanya.
Mengapa kebocoran database perusahaan AI dan data pengenalan wajah menjadi risiko yang bertahan lama
Sebagian besar data yang bocor dapat diubah. Anda dapat mengatur ulang kata sandi, membatalkan kartu, atau mengganti akun. Wajah tidak dapat diganti.
Ketika gambar wajah terekspos, terutama oleh layanan yang dibangun di sekitar pencarian gambar terbalik dan verifikasi identitas, gambar tersebut mungkin terkait dengan nama atau detail identifikasi lainnya. Komentar keamanan tentang kasus ClarityCheck mencatat bahwa risiko meningkat ketika penjahat menggabungkan gambar wajah dengan informasi pribadi lainnya. Itu dapat mendukung peniruan identitas, pemeriksaan identitas palsu, atau penipuan yang ditargetkan.
Ada juga efek yang saling memperkuat. Jika agregator seperti Vibetech dapat mengumpulkan data dari beberapa pelanggaran, hal yang sama bisa terjadi pada sekumpulan gambar yang bocor. Satu eksposur yang tampak terbatas dapat berubah menjadi bagian permanen dari kumpulan data yang dapat dikumpulkan dan digunakan kembali oleh orang lain.
Tidak satu pun dari ini berarti bahwa setiap orang dalam database yang terekspos akan menjadi korban. Ini berarti bahwa saran biasa untuk mengubah kata sandi Anda setelah pelanggaran tidak lengkap ketika data yang terekspos bersifat biometrik.
Apa Artinya Bagi Anda: Membatasi Eksposur Anda
Anda tidak dapat mengontrol bagaimana perusahaan menyimpan data yang sudah dimilikinya, tetapi Anda dapat mengurangi seberapa banyak data Anda yang beredar dan seberapa berguna data itu jika terekspos.
Periksa eksposur Anda. Cari alamat email dan nomor telepon Anda di alat pemberitahuan pelanggaran yang tepercaya. Jika muncul, perlakukan akun terkait sebagai terkompromi dan ubah kata sandi tersebut, gunakan kata sandi unik untuk setiap akun.
Bersikap selektif dengan unggahan biometrik dan ID. Sebelum Anda mengunggah selfie, paspor, atau SIM ke layanan verifikasi, tanyakan apakah itu benar-benar diperlukan. Periksa apa yang dikatakan perusahaan tentang retensi dan penghapusan. Jika ada pilihan, utamakan metode yang tidak menyimpan wajah Anda.
Batasi foto publik. Layanan pencarian gambar terbalik dan pengikisan bergantung pada gambar yang mudah ditemukan. Memperketat pengaturan privasi pada akun sosial dan menghapus foto publik lama mengurangi apa yang dapat dikumpulkan.
Waspadai penipuan lanjutan. Detail pribadi yang bocor sering memicu phishing, peniruan identitas, dan permintaan verifikasi palsu. Perlakukan pesan tak terduga yang merujuk pada detail pribadi yang akurat dengan kehati-hatian ekstra, dan konfirmasi melalui saluran resmi.
Gunakan perlindungan akun yang kuat. Aktifkan autentikasi multi-faktor jika tersedia, sehingga kredensial yang terekspos saja kurang berguna. VPN dapat melindungi koneksi Anda dari pengintaian lokal, tetapi tidak melindungi data yang sudah disimpan perusahaan dan dibiarkan terekspos.
Poin-poin penting
Pelajaran yang lebih luas dari kebocoran database perusahaan AI dan eksposur pengenalan wajah ini adalah bahwa data yang dilanggar tidak hilang. Data tersebut dapat dikumpulkan, digabungkan, dan diekspos lagi, dan wajah adalah satu-satunya pengenal yang tidak dapat Anda atur ulang.
- Periksa apakah email dan nomor telepon Anda muncul dalam database pelanggaran yang diketahui, dan perbarui kata sandi yang terdampak.
- Bagikan data biometrik dan dokumen ID hanya jika diperlukan, dan utamakan layanan dengan kebijakan penghapusan yang jelas.
- Kurangi jumlah foto publik yang terkait dengan nama Anda.
- Tetap waspada terhadap penipuan yang menggunakan detail pribadi asli.
Untuk contoh konkret tentang apa yang dipertaruhkan, baca laporan kami tentang kebocoran gambar wajah ClarityCheck, lalu luangkan beberapa menit untuk meninjau apa yang telah Anda bagikan dengan layanan verifikasi identitas.
