Paparan Data Biometrik Masif Terungkap
Seorang peneliti keamanan siber telah menemukan basis data cloud yang tidak aman berisi lebih dari 9 juta gambar wajah yang terkait dengan ClarityCheck, layanan pencarian gambar terbalik dan verifikasi identitas yang berbasis di AS. Menurut laporan tentang penemuan tersebut, peneliti Jeremiah Fowler menemukan basis data yang terekspos tersebut berukuran sekitar 450,2GB, berisi sekitar 9.042.977 gambar wajah beserta data profil yang terkait.
Basis data tersebut dibiarkan tanpa enkripsi dan tanpa perlindungan kata sandi, artinya siapa pun yang secara tidak sengaja menemukannya secara daring berpotensi mengakses catatan biometrik di dalamnya. Karena model bisnis ClarityCheck berpusat pada verifikasi identitas dan pencocokan wajah di seluruh web, data yang terekspos kemungkinan besar tidak hanya berisi foto mentah tetapi juga informasi profil yang terkait dengan identitas asli, sehingga meningkatkan risikonya secara signifikan dibandingkan kebocoran email atau kata sandi pada umumnya.
Mengapa Basis Data yang Salah Konfigurasi Terus Menyebabkan Kebocoran Besar-besaran
Insiden ini sesuai dengan pola yang telah menjadi sangat umum di dunia keamanan data: basis data cloud yang salah konfigurasi dan tidak aman. Seiring semakin banyaknya bisnis yang mengandalkan penyimpanan cloud untuk menyimpan data sensitif tentang karyawan, mitra, dan pelanggan, kemudahan akses dan integrasi dengan alat intelijen bisnis sering kali mengorbankan konfigurasi keamanan yang tepat. Basis data yang dibiarkan terbuka tanpa persyaratan autentikasi secara efektif bersifat publik, terlepas dari seberapa sensitif isinya.
Yang membuat paparan khusus ini penting adalah sifat data yang terlibat. Kata sandi dapat diatur ulang. Nomor kartu kredit dapat dibatalkan dan diterbitkan ulang. Tetapi gambar wajah bersifat permanen. Setelah data biometrik seperti ini terekspos, tidak ada cara untuk mengubah wajah Anda seperti Anda mengubah kata sandi yang telah dikompromikan. Sifat permanen inilah yang membedakan kebocoran pengenalan wajah dari kebocoran kredensial yang lebih umum, dan inilah mengapa para peneliti keamanan dan advokat privasi memperlakukan paparan biometrik dengan tingkat keprihatinan yang lebih tinggi.
Skala di sini juga menonjol. Sembilan juta gambar adalah jumlah yang substansial untuk layanan yang dibangun di sekitar verifikasi identitas, sektor di mana seluruh proposisi nilai bergantung pada kepercayaan bahwa data yang diproses ditangani dengan aman. Ketika perusahaan verifikasi identitas itu sendiri menjadi sumber kebocoran, hal itu merusak premis dasar industri tersebut.
Ini bukan pertama kalinya dalam ingatan baru-baru ini sejumlah besar catatan yang terkait dengan platform konsumen terkenal terekspos atau dicuri. Kebocoran yang melibatkan pengecer dan merek besar lainnya, seperti insiden yang memengaruhi Zara, Carnival, dan 7-Eleven, telah menunjukkan betapa cepatnya jutaan catatan pelanggan dapat dikompromikan melalui vendor pihak ketiga atau sistem yang tidak aman. Dalam kasus terpisah, email pelanggan Zara terekspos melalui kebocoran pihak ketiga, menegaskan betapa rapuhnya data bahkan ketika data tersebut melewati vendor yang dipercaya perusahaan. Paparan ClarityCheck menambahkan data biometrik ke daftar kategori informasi sensitif yang terus bertambah yang berisiko akibat kelalaian keamanan dasar.
Apa Artinya Ini Bagi Anda
Jika Anda pernah menggunakan alat pencarian gambar terbalik, mengirimkan foto untuk verifikasi identitas, atau gambar Anda dikeruk dan diindeks oleh layanan seperti ClarityCheck tanpa sepengetahuan Anda, kebocoran ini adalah pengingat betapa sedikitnya kendali yang dimiliki kebanyakan orang atas ke mana data wajah mereka berakhir. Tidak seperti kebocoran data yang melibatkan layanan yang Anda daftari secara langsung, banyak orang yang terkena dampak kebocoran pengenalan wajah tidak pernah memberikan persetujuan untuk pengumpulan atau verifikasi gambar mereka sejak awal.
Risiko praktisnya mencakup pencurian identitas, karena gambar wajah yang dikombinasikan dengan data profil dapat digunakan untuk membangun identitas palsu yang meyakinkan atau melewati sistem verifikasi wajah yang digunakan oleh bank dan institusi lainnya. Hal ini juga menimbulkan kekhawatiran tentang pengawasan dan pembuatan profil tanpa izin, karena begitu gambar terekspos secara daring, gambar tersebut dapat disalin, dikeruk, dan digunakan kembali tanpa batas waktu.
Langkah-langkah yang Dapat Dilakukan
Meskipun Anda tidak dapat menghapus foto wajah Anda sendiri dari internet, ada langkah-langkah yang layak dilakukan. Periksa apakah gambar Anda muncul di hasil pencarian gambar terbalik untuk nama Anda, dan minta penghapusan dari situs perantara data atau pencarian orang jika memungkinkan. Aktifkan autentikasi multi-faktor yang tidak hanya mengandalkan pengenalan wajah untuk akun-akun penting seperti perbankan. Berhati-hatilah tentang aplikasi dan layanan mana yang meminta pemindaian wajah, dan baca kebijakan privasi untuk memahami berapa lama data biometrik disimpan. Terakhir, pantau layanan pemantauan identitas yang dapat memperingatkan Anda jika informasi pribadi Anda, termasuk pengidentifikasi biometrik, muncul dalam kebocoran di masa depan.
Seiring alat pengenalan wajah dan verifikasi identitas menjadi semakin tertanam dalam kehidupan digital sehari-hari, insiden seperti paparan ClarityCheck menyoroti mengapa perusahaan yang menangani data biometrik memerlukan garis dasar keamanan yang lebih kuat, dan mengapa pengguna harus tetap terinformasi tentang di mana data paling pribadi mereka, wajah mereka sendiri, disimpan.
