4,200만 건의 문서를 유출한 GovTech 침해 사고에 관한 TechRadar 보고서는 여러 다른 노출된 데이터베이스들도 함께 정리한다. 그중 두 가지가 눈에 띈다. 하나는 AI 개발 기업인 Vibetech로, 이전 침해 사고들에서 데이터를 수집한 뒤 실수로 거의 1,400만 건의 기록을 온라인에서 접근 가능한 상태로 남겨두었다. 다른 하나는 역이미지 검색 및 신원 확인 서비스로, 900만 장 이상의 얼굴 인식 이미지를 노출시켰다. 종합하면, AI 기업 데이터베이스 유출과 얼굴 인식 노출은 개인 데이터가 원래 사건이 발생한 후에도 오랫동안 어떻게 피해를 계속 일으킬 수 있는지를 보여준다.
노출된 데이터베이스에 무엇이 있었나
지금까지 공개된 세부 사항은 제한적이므로, 무엇이 알려졌는지 정확히 짚어볼 필요가 있다.
보고서에 따르면, Vibetech 노출 사고에는 거의 1,400만 건의 기록이 관련되었다. 이 회사는 여러 침해 사고에서 데이터를 수집했으며, 그 데이터가 이후 실수로 온라인에서 접근 가능해졌다. 주요 GovTech 사건에는 4,200만 건의 문서가 관련되었으며, 그중 수천 건은 개인 정보로 가득 차 있다고 묘사되었다.
세 번째 사례는 얼굴 이미지와 관련되었다. 900만 장 이상이 역이미지 검색 및 신원 확인 서비스에 의해 노출되었다. 900만 장의 얼굴 이미지를 노출한 ClarityCheck 유출에 관한 우리의 이전 보도는 한 연구원이 미국에 본사를 둔 해당 서비스와 연결된 보안되지 않은 클라우드 데이터베이스를 발견한 경위를 설명한다.
이들은 별개의 사건이지만, 공통된 원인을 공유한다: 데이터가 인터넷 연결만 있으면 누구든 접근할 수 없어야 할 곳에 저장되어 있었다는 점이다.
수집된 침해 데이터가 어떻게 온라인에 남게 되는가
Vibetech 사례는 전형적인 해킹과는 다른 종류의 문제다. 누군가 반드시 침입한 것은 아니다. 한 기업이 여러 이전 침해 사고에서 정보를 수집하고, 그것을 한곳에 모은 뒤, 그곳을 안전하게 보호하지 못한 것이다.
이것이 중요한 이유는 몇 가지가 있다:
- 오래된 유출이 두 번째 생명을 얻는다. 별개의 사건들에 흩어져 있던 데이터는 하나의 컬렉션으로 편집되면 검색하고 사용하기가 더 쉬워진다.
- 영향을 받은 사람들은 모를 수 있다. 당신의 정보가 이전 침해 사고에 있었다면, 제3자가 그것을 수집하고 나중에 다시 노출시켰다는 사실을 결코 알지 못할 수 있다.
- 잘못된 구성은 반복되는 실패다. 클라우드 스토리지든 검색 플랫폼이든, 보안되지 않은 데이터베이스는 보안 연구에서 계속 등장한다. 베트남 APIS 유출로 노출된 2억 2,000만 건의 여행자 기록에 관한 우리의 보도는 보안되지 않은 Elasticsearch 데이터베이스와 관련되었으며, 이는 매우 다른 규모에서 발생한 유사한 종류의 오류였다.
편집된 데이터셋은 또한 별개의 정보 조각들을 한 사람에게 연결하기 쉽게 만들 수 있다. 한 침해 사고의 이메일 주소와 다른 사고의 전화번호는 둘 다 포함된 단일 프로필보다 범죄자에게 덜 유용하다.
AI 기업 데이터베이스 유출과 얼굴 인식 데이터가 지속적인 위험인 이유
대부분의 유출된 데이터는 변경할 수 있다. 비밀번호를 재설정하거나, 카드를 취소하거나, 계정을 교체할 수 있다. 얼굴은 교체할 수 없다.
얼굴 이미지가 노출될 때, 특히 역이미지 검색 및 신원 확인을 중심으로 구축된 서비스에 의해 노출될 때, 그 이미지들은 이름이나 다른 식별 세부 정보와 연결될 수 있다. ClarityCheck 사례에 관한 보안 논평은 범죄자들이 얼굴 이미지를 다른 개인 정보와 결합할 때 위험이 커진다고 지적한다. 이는 사칭, 사기성 신원 확인, 또는 표적형 사기를 지원할 수 있다.
누적 효과도 있다. Vibetech 같은 수집업체가 여러 침해 사고에서 데이터를 수집할 수 있다면, 유출된 이미지 세트에도 같은 일이 일어날 수 있다. contained된 것처럼 보이는 단일 노출이 다른 사람들이 수집하고 재사용할 수 있는 데이터 풀의 영구적인 일부가 될 수 있다.
이 모든 것이 노출된 데이터베이스에 있는 모든 사람이 피해자가 된다는 것을 의미하지는 않는다. 다만 노출된 데이터가 생체 인식 데이터일 때, 침해 사고 후 비밀번호를 변경하라는 일반적인 조언은 불완전하다는 것을 의미한다.
이것이 당신에게 의미하는 것: 노출 제한하기
기업이 이미 보유하고 있는 데이터를 어떻게 저장하는지는 통제할 수 없지만, 당신의 데이터 중 얼마나 많은 것이 밖에 나와 있는지, 그리고 노출될 경우 얼마나 유용할지를 줄일 수는 있다.
노출 여부를 확인하라. 신뢰할 수 있는 침해 알림 도구에서 이메일 주소와 전화번호를 조회하라. 만약 나타난다면, 관련 계정이 침해된 것으로 간주하고 해당 비밀번호를 변경하되, 각 계정마다 고유한 비밀번호를 사용하라.
생체 인식 및 신분증 업로드에 선별적으로 임하라. 셀카, 여권, 운전면허증을 확인 서비스에 업로드하기 전에, 그것이 정말로 필요한지 물어보라. 회사가 보존 및 삭제에 관해 하는 말을 확인하라. 선택이 있다면, 얼굴을 저장하지 않는 방식을 선호하라.
공개 사진을 제한하라. 역이미지 검색 및 스크래핑 서비스는 찾기 쉬운 이미지에 의존한다. 소셜 계정의 개인정보 설정을 강화하고 오래된 공개 사진을 삭제하면 수집될 수 있는 것들이 줄어든다.
후속 사기에 주의하라. 유출된 개인 정보는 종종 피싱, 사칭, 가짜 확인 요청을 부추긴다. 정확한 개인 정보를 언급하는 예상치 못한 메시지는 각별히 주의하고, 공식 채널을 통해 확인하라.
강력한 계정 보호를 사용하라. 가능한 곳에서는 다중 인증을 켜서 노출된 자격 증명만으로는 덜 유용하게 만들어라. VPN은 지역 도청으로부터 당신의 연결을 보호할 수 있지만, 기업이 이미 저장하고 노출시킨 데이터를 보호하지는 않는다.
핵심 요점
이 AI 기업 데이터베이스 유출과 얼굴 인식 노출의 더 넓은 교훈은 침해된 데이터가 사라지지 않는다는 것이다. 그것은 수집되고, 결합되고, 다시 노출될 수 있으며, 얼굴은 재설정할 수 없는 유일한 식별자다.
- 당신의 이메일과 전화번호가 알려진 침해 데이터베이스에 나타나는지 확인하고, 영향을 받은 비밀번호를 업데이트하라.
- 생체 인식 데이터와 신분증 문서는 필요할 때만 공유하고, 명확한 삭제 정책을 가진 서비스를 선호하라.
- 당신의 이름과 연결된 공개 사진의 수를 줄여라.
- 실제 개인 정보를 사용하는 사기에 주의를 기울여라.
무엇이 걸려 있는지에 관한 구체적인 예를 보려면, ClarityCheck 얼굴 이미지 유출에 관한 우리의 보고서를 읽은 후, 신원 확인 서비스에 무엇을 공유했는지 검토하는 데 몇 분을 할애하라.
