Un report di TechRadar su una violazione di GovTech che ha fatto trapelare 42 milioni di documenti riassume anche diverse altre banche dati esposte. Due si distinguono. Una è un'azienda di sviluppo di IA, Vibetech, che ha raccolto dati da violazioni precedenti e ha accidentalmente lasciato accessibili online quasi 14 milioni di record. L'altra è un servizio di ricerca inversa di immagini e verifica dell'identità che ha esposto più di 9 milioni di immagini di riconoscimento facciale. Presi insieme, la fuga di dati dell'azienda di IA e l'esposizione del riconoscimento facciale mostrano come i dati personali possano continuare a causare danni molto tempo dopo l'incidente originale.
Cosa contenevano le banche dati esposte
I dettagli pubblicati finora sono limitati, quindi vale la pena essere precisi su ciò che è noto.
Secondo il report, l'esposizione di Vibetech riguardava quasi 14 milioni di record. L'azienda aveva raccolto i dati da diverse violazioni, che sono poi diventati raggiungibili online per caso. L'incidente principale di GovTech riguardava 42 milioni di documenti, tra cui migliaia descritti come pieni di informazioni personali.
Il terzo caso riguardava immagini facciali. Più di 9 milioni sono state esposte da un servizio di ricerca inversa di immagini e verifica dell'identità. La nostra precedente copertura della fuga di dati di ClarityCheck che espone 9 milioni di immagini facciali descrive come un ricercatore abbia trovato un database cloud non protetto collegato al servizio con sede negli Stati Uniti.
Si tratta di incidenti separati, ma condividono una causa: dati archiviati in un luogo dove non sarebbero dovuti essere raggiungibili da chiunque avesse una connessione a internet.
Come i dati aggregati delle violazioni finiscono online
Il caso Vibetech è un tipo di problema diverso da un tipico attacco informatico. Nessuno è necessariamente entrato con la forza. Un'azienda ha raccolto informazioni da diverse violazioni precedenti, le ha messe in un unico posto e poi non è riuscita a proteggere quel posto.
Questo è importante per alcuni motivi:
- Le vecchie fughe di dati hanno una seconda vita. I dati che erano sparsi in incidenti separati diventano più facili da cercare e utilizzare una volta compilati in un'unica raccolta.
- Le persone colpite potrebbero non saperlo. Se i tuoi dati erano in una violazione precedente, potresti non venire mai a sapere che una terza parte li ha raccolti e successivamente li ha esposti di nuovo.
- Le configurazioni errate sono un fallimento ricorrente. I database non protetti, che si tratti di archiviazione cloud o piattaforme di ricerca, continuano ad apparire nella ricerca sulla sicurezza. La nostra copertura dei 220 milioni di record di viaggiatori esposti in una fuga di dati APIS in Vietnam riguardava un database Elasticsearch non protetto, un tipo simile di errore su una scala molto diversa.
I set di dati compilati possono anche rendere più facile collegare informazioni separate a una persona. Un indirizzo email in una violazione e un numero di telefono in un'altra sono meno utili a un criminale di un singolo profilo che contiene entrambi.
Perché una fuga di dati di un'azienda di IA e i dati di riconoscimento facciale sono un rischio duraturo
La maggior parte dei dati rubati può essere cambiata. Puoi reimpostare una password, cancellare una carta o sostituire un account. Un volto non può essere sostituito.
Quando le immagini facciali vengono esposte, in particolare da un servizio costruito attorno alla ricerca inversa di immagini e alla verifica dell'identità, le immagini possono essere collegate a nomi o altri dettagli identificativi. I commenti sulla sicurezza nel caso ClarityCheck osservano che il rischio aumenta quando i criminali combinano immagini facciali con altre informazioni personali. Ciò potrebbe favorire l'impersonificazione, controlli di identità fraudolenti o truffe mirate.
C'è anche un effetto cumulativo. Se un aggregatore come Vibetech può raccogliere dati da più violazioni, lo stesso potrebbe accadere a un insieme di immagini rubate. Una singola esposizione che sembra contenuta può trasformarsi in una parte permanente del pool di dati che altri possono raccogliere e riutilizzare.
Niente di tutto ciò significa che ogni persona in un database esposto diventerà una vittima. Significa che il solito consiglio di cambiare la password dopo una violazione è incompleto quando i dati esposti sono biometrici.
Cosa significa per te: limitare la tua esposizione
Non puoi controllare come un'azienda archivia i dati che già possiede, ma puoi ridurre quanto dei tuoi dati è là fuori e quanto sarebbero utili se esposti.
Controlla la tua esposizione. Cerca i tuoi indirizzi email e numeri di telefono in uno strumento affidabile di notifica delle violazioni. Se compaiono, tratta gli account associati come compromessi e cambia quelle password, usando una password unica per ogni account.
Sii selettivo con i caricamenti biometrici e dei documenti d'identità. Prima di caricare un selfie, un passaporto o una patente di guida su un servizio di verifica, chiediti se sia davvero necessario. Controlla cosa dice l'azienda sulla conservazione e la cancellazione. Dove c'è una scelta, preferisci metodi che non memorizzano il tuo volto.
Limita le foto pubbliche. I servizi di ricerca inversa di immagini e di scraping si basano su immagini facili da trovare. Rafforzare le impostazioni sulla privacy sui social account e rimuovere le vecchie foto pubbliche riduce ciò che può essere raccolto.
Fai attenzione alle truffe successive. I dettagli personali rubati spesso alimentano phishing, impersonificazione e richieste di verifica false. Tratta i messaggi inaspettati che fanno riferimento a dettagli personali accurati con particolare cautela e verifica tramite un canale ufficiale.
Usa una forte protezione dell'account. Attiva l'autenticazione a più fattori dove disponibile, così le credenziali esposte da sole sono meno utili. Una VPN può proteggere la tua connessione da intercettazioni locali, ma non protegge i dati che un'azienda ha già memorizzato e lasciato esposti.
Punti chiave
La lezione più ampia di questa fuga di dati di un'azienda di IA e dell'esposizione del riconoscimento facciale è che i dati violati non scompaiono. Possono essere raccolti, combinati ed esposti di nuovo, e un volto è l'unico identificatore che non puoi reimpostare.
- Controlla se la tua email e il tuo numero di telefono compaiono in database di violazioni note e aggiorna le password interessate.
- Condividi dati biometrici e documenti d'identità solo quando necessario e preferisci servizi con politiche di cancellazione chiare.
- Riduci il numero di foto pubbliche collegate al tuo nome.
- Rimani vigile contro le truffe che utilizzano dettagli personali reali.
Per un esempio concreto di ciò che è in gioco, leggi il nostro report sulla fuga di immagini facciali di ClarityCheck, poi prenditi qualche minuto per rivedere ciò che hai condiviso con i servizi di verifica dell'identità.
