Een TechRadar-rapport over een GovTech-datalek waarbij 42 miljoen documenten uitlekten, behandelt ook verschillende andere blootgestelde databases. Twee daarvan vallen op. Een daarvan is een AI-ontwikkelingsbedrijf, Vibetech, dat gegevens verzamelde uit eerdere datalekken en per ongeluk bijna 14 miljoen records online toegankelijk achterliet. De andere is een dienst voor reverse image search en identiteitsverificatie die meer dan 9 miljoen gezichtsherkenningsafbeeldingen blootstelde. Samen laten het datalek bij het AI-bedrijf en de blootstelling van gezichtsherkenning zien hoe persoonsgegevens nog lang na het oorspronkelijke incident schade kunnen blijven veroorzaken.

Wat de blootgestelde databases bevatten

De tot nu toe gepubliceerde details zijn beperkt, dus het is de moeite waard precies te zijn over wat bekend is.

Volgens het rapport betrof de Vibetech-blootstelling bijna 14 miljoen records. Het bedrijf had de gegevens verzameld uit verschillende datalekken, en die werden vervolgens per ongeluk online bereikbaar. Het hoofdzakelijke GovTech-incident betrof 42 miljoen documenten, waaronder duizenden die werden beschreven als vol met persoonsgegevens.

Het derde geval betrof gezichtsafbeeldingen. Meer dan 9 miljoen werden blootgesteld door een dienst voor reverse image search en identiteitsverificatie. Onze eerdere berichtgeving over het ClarityCheck-datalek dat 9 miljoen gezichtsafbeeldingen blootstelde beschrijft hoe een onderzoeker een onbeveiligde clouddatabase ontdekte die verbonden was aan de in de VS gevestigde dienst.

Dit zijn afzonderlijke incidenten, maar ze delen een oorzaak: gegevens die ergens waren opgeslagen waar ze niet bereikbaar hadden moeten zijn voor iedereen met een internetverbinding.

Hoe samengevoegde datalekgegevens online belanden

Het Vibetech-geval is een ander soort probleem dan een typische hack. Niemand hoefde per se in te breken. Een bedrijf verzamelde informatie uit verschillende eerdere datalekken, plaatste die op één plek en slaagde er vervolgens niet in die plek te beveiligen.

Dat is om een paar redenen belangrijk:

  • Oude lekken krijgen een tweede leven. Gegevens die verspreid waren over afzonderlijke incidenten worden makkelijker doorzoekbaar en bruikbaar zodra ze in één verzameling zijn samengebracht.
  • De getroffenen weten het mogelijk niet. Als je gegevens in een eerder datalek zaten, kom je er misschien nooit achter dat een derde partij ze heeft verzameld en later opnieuw heeft blootgesteld.
  • Verkeerde configuratie is een terugkerend probleem. Onbeveiligde databases, of het nu cloudopslag of zoekplatforms zijn, blijven opduiken in securityonderzoek. Onze berichtgeving over de 220 miljoen reizigersrecords die blootgesteld werden in een Vietnam APIS-datalek betrof een onbeveiligde Elasticsearch-database, een vergelijkbaar soort fout op een heel andere schaal.

Samengevoegde datasets kunnen het ook makkelijker maken om afzonderlijke stukjes informatie aan één persoon te koppelen. Een e-mailadres uit het ene datalek en een telefoonnummer uit het andere zijn voor een crimineel minder nuttig dan één profiel dat beide bevat.

Waarom een datalek bij een AI-bedrijf en gezichtsherkenningsgegevens een blijvend risico vormen

De meeste uitgelekte gegevens kun je wijzigen. Je kunt een wachtwoord resetten, een kaart annuleren of een account vervangen. Een gezicht kun je niet vervangen.

Wanneer gezichtsafbeeldingen worden blootgesteld, vooral door een dienst die is gebouwd rond reverse image search en identiteitsverificatie, kunnen de afbeeldingen gekoppeld zijn aan namen of andere identificerende gegevens. In securitycommentaar op het ClarityCheck-geval wordt opgemerkt dat het risico toeneemt wanneer criminelen gezichtsafbeeldingen combineren met andere persoonsgegevens. Dat kan impersonatie, frauduleuze identiteitscontroles of gerichte oplichting ondersteunen.

Er is ook een versterkend effect. Als een aggregator zoals Vibetech gegevens uit meerdere datalekken kan verzamelen, kan hetzelfde gebeuren met een reeks uitgelekte afbeeldingen. Een enkele blootstelling die beperkt lijkt, kan een permanent onderdeel worden van de pool aan gegevens die anderen kunnen verzamelen en hergebruiken.

Niets hiervan betekent dat iedere persoon in een blootgestelde database slachtoffer wordt. Het betekent wel dat het gebruikelijke advies om je wachtwoord te wijzigen na een datalek onvolledig is wanneer de blootgestelde gegevens biometrisch zijn.

Wat dit voor jou betekent: je blootstelling beperken

Je kunt niet bepalen hoe een bedrijf gegevens opslaat die het al heeft, maar je kunt wel beperken hoeveel van jouw gegevens ergens rondzwerven en hoe nuttig ze zouden zijn als ze worden blootgesteld.

Controleer je blootstelling. Zoek je e-mailadressen en telefoonnummers op in een betrouwbare tool voor datalekmeldingen. Als ze opduiken, behandel de bijbehorende accounts dan als gecompromitteerd en wijzig die wachtwoorden, met een uniek wachtwoord voor elk account.

Wees selectief met biometrische gegevens en ID-uploads. Voordat je een selfie, paspoort of rijbewijs uploadt naar een verificatiedienst, vraag je af of dat echt nodig is. Controleer wat het bedrijf zegt over bewaring en verwijdering. Waar er een keuze is, geef de voorkeur aan methoden die je gezicht niet opslaan.

Beperk openbare foto's. Diensten voor reverse image search en scraping zijn afhankelijk van afbeeldingen die makkelijk te vinden zijn. Strengere privacyinstellingen op sociale accounts en het verwijderen van oude openbare foto's verminderen wat kan worden verzameld.

Let op vervolgoplichting. Uitgelekte persoonsgegevens voeden vaak phishing, impersonatie en nepverificatieverzoeken. Behandel onverwachte berichten die naar accurate persoonsgegevens verwijzen met extra voorzichtigheid, en verifieer via een officieel kanaal.

Gebruik sterke accountbeveiliging. Schakel multi-factor authenticatie in waar beschikbaar, zodat blootgestelde inloggegevens alleen minder nuttig zijn. Een VPN kan je verbinding beschermen tegen lokaal meekijken, maar beschermt geen gegevens die een bedrijf al heeft opgeslagen en blootgesteld.

Belangrijkste punten

De bredere les van dit datalek bij een AI-bedrijf en de blootstelling van gezichtsherkenning is dat uitgelekte gegevens niet verdwijnen. Ze kunnen worden verzameld, gecombineerd en opnieuw worden blootgesteld, en een gezicht is de enige identificator die je niet kunt resetten.

  1. Controleer of je e-mailadres en telefoonnummer voorkomen in bekende datalekdatabases, en werk eventuele getroffen wachtwoorden bij.
  2. Deel biometrische gegevens en identiteitsdocumenten alleen wanneer nodig, en geef de voorkeur aan diensten met duidelijk verwijderingsbeleid.
  3. Verminder het aantal openbare foto's dat aan je naam is gekoppeld.
  4. Blijf alert op oplichting die echte persoonsgegevens gebruikt.

Voor een concreet voorbeeld van wat er op het spel staat, lees ons rapport over het ClarityCheck-datalek met gezichtsafbeeldingen, en neem daarna een paar minuten om te bekijken wat je hebt gedeeld met diensten voor identiteitsverificatie.