GovTech侵害で4200万件の文書が漏洩した件に関するTechRadarの報道は、他にも複数の露出したデータベースをまとめている。特に際立つのは2件だ。一つはAI開発企業のVibetechで、過去の侵害から収集したデータを誤って約1400万件分オンラインでアクセス可能な状態にしていた。もう一つは逆画像検索および本人確認サービスで、900万枚以上の顔認識画像を露出させた。これらを総合すると、AI企業のデータベース漏洩と顔認識データの露出は、個人データが元のインシデントから長期間経過した後もいかに害を及ぼし続け得るかを示している。

露出したデータベースに含まれていたもの

これまでに公開された詳細は限られているため、何が明らかになっているかを正確に述べておく価値がある。

報道によると、Vibetechの露出は約1400万件のレコードに関係していた。同社はさまざまな侵害からデータを収集しており、それが誤ってオンラインで到達可能な状態になった。見出しを飾ったGovTechのインシデントは4200万件の文書に関係し、その中には個人情報が詰まっていると説明された数千件が含まれていた。

3件目の事例は顔画像に関するものだった。逆画像検索および本人確認サービスによって900万枚以上が露出した。以前の900万枚の顔画像を露出させたClarityCheck漏洩に関する報道では、研究者が米国拠点のサービスに関連する保護されていないクラウドデータベースを発見した経緯を説明している。

これらは別々のインシデントだが、共通する原因がある。データが、インターネット接続さえあれば誰でも到達できるべきではない場所に保存されていたということだ。

集約された侵害データがオンラインに流出する仕組み

Vibetechの事例は、典型的なハッキングとは異なる種類の問題だ。必ずしも誰かが侵入したわけではない。ある企業が複数の過去の侵害から情報を収集し、一箇所にまとめ、その場所を保護し損ねたのだ。

それが重要である理由はいくつかある。

  • 古い漏洩に第二の命が吹き込まれる。 別々のインシデントに散在していたデータは、一つのコレクションにまとめられると、検索や悪用が容易になる。
  • 影響を受けた人は気づかないかもしれない。 あなたの情報が過去の侵害に含まれていた場合、第三者がそれを収集し、後に再び露出させたことを知る機会はないかもしれない。
  • 設定ミスは繰り返される失敗だ。 クラウドストレージであれ検索プラットフォームであれ、保護されていないデータベースはセキュリティ研究で後を絶たない。ベトナムのAPIS漏洩で露出した2億2000万件の旅行者レコードに関する報道では、保護されていないElasticsearchデータベースが関係しており、非常に異なる規模でありながら同種のエラーだった。

また、 compiled データセットは、別々の情報を一人の人物に結びつけやすくする。ある侵害のメールアドレスと別の侵害の電話番号は、両方を含む単一のプロフィールよりも犯罪者にとって有用性が低い。

AI企業のデータベース漏洩と顔認識データが長期的なリスクである理由

漏洩したデータのほとんどは変更できる。パスワードをリセットし、カードを解約し、アカウントを置き換えることができる。しかし、顔は置き換えられない。

顔画像が露出した場合、特に逆画像検索と本人確認を中心に構築されたサービスによる場合は、画像が名前やその他の識別情報と結びつけられている可能性がある。ClarityCheckの事例に関するセキュリティ解説では、犯罪者が顔画像を他の個人情報と組み合わせるとリスクが高まると指摘されている。それはなりすまし、詐欺的な本人確認、または標的型詐欺を助長し得る。

さらに複合効果もある。Vibetechのようなアグリゲーターが複数の侵害からデータを収集できるのであれば、漏洩した画像のセットにも同じことが起こり得る。封じ込められたように見える単一の露出が、他者が収集して再利用できるデータプールの恒久的な一部になり得るのだ。

これは、露出したデータベースに含まれるすべての人が被害者になるという意味ではない。しかし、露出したデータが生体認証データである場合、侵害後にパスワードを変更するよう促す通常の助言は不完全であるということを意味する。

あなたにとっての意味：露出を限定する方法

企業がすでに保有しているデータの保存方法をあなたが制御することはできないが、自分のデータがどれだけ世に出ているか、そして露出した場合にどれだけ有用になり得るかを減らすことはできる。

露出を確認する。 信頼できる侵害通知ツールでメールアドレスと電話番号を検索する。見つかった場合は、関連するアカウントが侵害されたものとして扱い、各アカウントに固有のパスワードを使用してパスワードを変更する。

生体認証データやIDのアップロードには慎重に。 自撮り写真、パスポート、運転免許証を本人確認サービスにアップロードする前に、それが本当に必要かどうかを確認する。企業が保存期間と削除についてどう述べているかを確認する。選択肢がある場合は、顔を保存しない方法を優先する。

公開写真を制限する。 逆画像検索やスクレイピングサービスは、見つけやすい画像に依存している。ソーシャルアカウントのプライバシー設定を厳しくし、古い公開写真を削除することで、収集され得るものを減らせる。

二次的な詐欺に注意する。 漏洩した個人情報は、フィッシング、なりすまし、偽の本人確認要求を助長することが多い。正確な個人情報に言及した予期しないメッセージには特に注意し、公式チャネルを通じて確認する。

強力なアカウント保護を使用する。 利用可能な場合は多要素認証を有効にし、露出した認証情報だけでは有用性を低くする。VPNはローカルな盗聴から接続を保護できるが、企業がすでに保存して露出させたデータを保護するものではない。

主な要点

このAI企業のデータベース漏洩と顔認識データの露出から得られるより広い教訓は、侵害されたデータは消えないということだ。それは収集され、組み合わされ、再び露出し得る。そして顔は、リセットできない唯一の識別子である。

  1. 自分のメールアドレスと電話番号が既知の侵害データベースに含まれているか確認し、影響を受けたパスワードを更新する。
  2. 生体認証データとID文書は必要な場合にのみ共有し、明確な削除ポリシーを持つサービスを優先する。
  3. 自分の名前に関連する公開写真の数を減らす。
  4. 本物の個人情報を使用する詐欺に警戒を続ける。

何が危険にさらされているかの具体例については、ClarityCheckの顔画像漏洩に関する報告書をお読みいただき、その後数分かけて本人確認サービスに何を共有したかを確認してほしい。