Een enorme blootstelling van biometrische gegevens komt aan het licht

Een cybersecurityonderzoeker heeft een onbeveiligde clouddatabase ontdekt met meer dan 9 miljoen gezichtsafbeeldingen die verband houden met ClarityCheck, een Amerikaanse dienst voor reverse image search en identiteitsverificatie. Volgens berichtgeving over de ontdekking vond onderzoeker Jeremiah Fowler de blootgestelde database met een omvang van ongeveer 450,2 GB, met naar schatting 9.042.977 gezichtsafbeeldingen plus bijbehorende profielgegevens.

De database was achtergelaten zonder encryptie en zonder wachtwoordbeveiliging, wat betekent dat iedereen die er online toevallig op stuitte mogelijk toegang had tot de biometrische gegevens erin. Omdat het bedrijfsmodel van ClarityCheck draait om identiteitsverificatie en het matchen van gezichten op het hele web, bevatten de blootgestelde gegevens waarschijnlijk niet alleen ruwe foto's, maar ook profielinformatie die gekoppeld is aan echte identiteiten, waardoor de inzet aanzienlijk hoger ligt dan bij een typisch e-mail- of wachtwoordlek.

Waarom verkeerd geconfigureerde databases grote lekken blijven veroorzaken

Dit incident past in een patroon dat in de wereld van databeveiliging verontrustend gebruikelijk is geworden: een verkeerd geconfigureerde, onbeveiligde clouddatabase. Nu bedrijven steeds vaker vertrouwen op cloudopslag om gevoelige gegevens over medewerkers, partners en klanten op te slaan, gaat het gemak van eenvoudige toegang en integratie met business intelligence-tools vaak ten koste van een goede beveiligingsconfiguratie. Een database die open blijft staan zonder authenticatievereisten is feitelijk openbaar, ongeacht hoe gevoelig de inhoud is.

Wat deze specifieke blootstelling opmerkelijk maakt, is de aard van de betrokken gegevens. Wachtwoorden kunnen worden gereset. Creditcardnummers kunnen worden geannuleerd en opnieuw uitgegeven. Maar een gezichtsafbeelding is permanent. Zodra biometrische gegevens zoals deze zijn blootgesteld, is er geen manier om je gezicht te veranderen zoals je een gecompromitteerd wachtwoord zou kunnen wijzigen. Die permanentie is wat gezichtsherkenningslekken onderscheidt van meer routinematige inloggegevenslekken, en het is de reden waarom beveiligingsonderzoekers en privacyvoorvechters biometrische blootstellingen met verhoogde zorg behandelen.

De schaal hier springt ook in het oog. Negen miljoen afbeeldingen is een aanzienlijk aantal voor een dienst die is gebouwd rond identiteitsverificatie, een sector waar de hele waardepropositie afhangt van vertrouwen dat de verwerkte gegevens veilig worden behandeld. Wanneer een identiteitsverificatiebedrijf zelf de bron van een lek wordt, ondermijnt dat het fundament waarop de sector is gebouwd.

Dit is niet de eerste keer in het recente geheugen dat een grote hoeveelheid gegevens die verband houdt met bekende consumentgerichte platforms is blootgesteld of gestolen. Inbreuken waarbij retailers en andere grote merken betrokken zijn, zoals de incidenten die Zara, Carnival en 7-Eleven troffen, hebben laten zien hoe snel miljoenen klantgegevens kunnen worden gecompromitteerd via externe leveranciers of onbeveiligde systemen. In een afzonderlijke zaak werden Zara-klant-e-mails blootgesteld via een inbreuk bij een derde partij, wat onderstreept hoe kwetsbaar gegevens kunnen zijn, zelfs wanneer ze via leveranciers gaan die een bedrijf vertrouwt. De ClarityCheck-blootstelling voegt biometrische gegevens toe aan die groeiende lijst van categorieën gevoelige informatie die risico lopen door basisbeveiligingsfouten.

Wat dit voor jou betekent

Als je ooit een reverse image search-tool hebt gebruikt, een foto hebt ingediend voor identiteitsverificatie, of als je afbeelding zonder dat je het wist is verzameld en geïndexeerd door een dienst als ClarityCheck, is dit lek een herinnering aan hoe weinig controle de meeste mensen hebben over waar hun gezichtsgegevens terechtkomen. In tegenstelling tot een datalek waarbij een dienst betrokken is waar je jezelf direct voor hebt aangemeld, hebben veel mensen die getroffen zijn door lekken in gezichtsherkenning nooit toestemming gegeven voor het verzamelen of verifiëren van hun afbeelding.

Het praktische risico omvat identiteitsdiefstal, aangezien gezichtsafbeeldingen in combinatie met profielgegevens kunnen worden gebruikt om overtuigende neppe identiteiten op te bouwen of gezichtsverificatiesystemen te omzeilen die door banken en andere instellingen worden gebruikt. Het roept ook zorgen op over surveillance en ongeautoriseerde profilering, aangezien afbeeldingen zodra ze online zijn blootgesteld oneindig kunnen worden gekopieerd, verzameld en hergebruikt.

Praktische aanbevelingen

Hoewel je een foto van je eigen gezicht niet van internet kunt wissen, zijn er stappen die de moeite waard zijn. Controleer of je afbeelding verschijnt in reverse image search-resultaten voor je naam en vraag om verwijdering van databroker- of people-search-sites waar mogelijk. Schakel multi-factor authenticatie in die niet uitsluitend vertrouwt op gezichtsherkenning voor kritieke accounts zoals bankzaken. Wees voorzichtig met welke apps en diensten gezichtsscans aanvragen en lees het privacybeleid om te begrijpen hoe lang biometrische gegevens worden bewaard. Houd ten slotte identiteitsmonitoringdiensten in de gaten die je kunnen waarschuwen als je persoonlijke informatie, inclusief biometrische identificatiegegevens, opduikt in toekomstige lekken.

Nu gezichtsherkenning en identiteitsverificatietools steeds meer ingebed raken in het dagelijkse digitale leven, benadrukken incidenten zoals de ClarityCheck-blootstelling waarom bedrijven die biometrische gegevens verwerken sterkere beveiligingsbasisprincipes nodig hebben, en waarom gebruikers op de hoogte moeten blijven van waar hun meest persoonlijke gegevens, hun eigen gezicht, uiteindelijk worden opgeslagen.