En TechRadar-rapport om et GovTech-brudd som lekket 42 millioner dokumenter, gir også en oversikt over flere andre eksponerte databaser. To av dem skiller seg ut. Den ene er et AI-utviklingsselskap, Vibetech, som samlet inn data fra tidligere datainnbrudd og ved et uhell lot nesten 14 millioner oppføringer ligge tilgjengelig på nettet. Den andre er en tjeneste for omvendt bildesøk og identitetsverifisering som eksponerte mer enn 9 millioner bilder for ansiktsgjenkjenning. Til sammen viser databaselekkasjen hos AI-selskapet og eksponeringen av ansiktsgjenkjenningsdata hvordan personopplysninger kan fortsette å gjøre skade lenge etter den opprinnelige hendelsen.
Hva de eksponerte databasene inneholdt
Detaljene som er publisert så langt er begrensede, så det er verdt å være presis om hva som er kjent.
Ifølge rapporten omfattet Vibetech-eksponeringen nesten 14 millioner oppføringer. Selskapet hadde samlet dataene fra ulike datainnbrudd, og de ble deretter tilgjengelige på nettet ved et uhell. Hovedhendelsen hos GovTech omfattet 42 millioner dokumenter, inkludert tusenvis som beskrives som fulle av personopplysninger.
Det tredje tilfellet gjaldt ansiktsbilder. Mer enn 9 millioner ble eksponert av en tjeneste for omvendt bildesøk og identitetsverifisering. Vår tidligere dekning av ClarityCheck-lekkasjen som eksponerte 9 millioner ansiktsbilder beskriver hvordan en forsker fant en usikret skydatabase knyttet til den USA-baserte tjenesten.
Dette er separate hendelser, men de har en felles årsak: data lagret et sted der de ikke burde vært tilgjengelige for hvem som helst med internettilkobling.
Hvordan samlede data fra datainnbrudd havner på nettet
Vibetech-saken er en annen type problem enn et typisk hackerangrep. Ingen brøt seg nødvendigvis inn. Et selskap samlet informasjon fra flere tidligere datainnbrudd, la den på ett sted og unnlot deretter å sikre det stedet.
Det har betydning av flere grunner:
- Gamle lekkasjer får nytt liv. Data som var spredt over separate hendelser, blir enklere å søke i og bruke når de er samlet i én samling.
- De berørte vet det kanskje ikke. Hvis opplysningene dine var med i et tidligere datainnbrudd, får du kanskje aldri vite at en tredjepart samlet dem og senere eksponerte dem igjen.
- Feilkonfigurering er en gjentakende svikt. Usikrede databaser, enten det er skylagring eller søkeplattformer, dukker stadig opp i sikkerhetsforskning. Vår dekning av 220 millioner reisendeoppføringer eksponert i en APIS-lekkasje i Vietnam gjaldt en usikret Elasticsearch-database, en lignende type feil i en helt annen skala.
Sammenstilte datasett kan også gjøre det enklere å koble separate opplysninger til én person. En e-postadresse i ett datainnbrudd og et telefonnummer i et annet er mindre nyttig for en kriminell enn én enkelt profil som inneholder begge.
Hvorfor en databaselekkasje hos et AI-selskap og ansiktsgjenkjenningsdata er en varig risiko
De fleste lekkede data kan endres. Du kan tilbakestille et passord, sperre et kort eller erstatte en konto. Et ansikt kan ikke erstattes.
Når ansiktsbilder eksponeres, særlig av en tjeneste bygget rundt omvendt bildesøk og identitetsverifisering, kan bildene være knyttet til navn eller andre identifiserende opplysninger. Sikkerhetskommentarer om ClarityCheck-saken påpeker at risikoen øker når kriminelle kombinerer ansiktsbilder med andre personopplysninger. Det kan legge til rette for identitetstyveri, falske identitetskontroller eller målrettet svindel.
Det finnes også en forsterkende effekt. Hvis en innsamler som Vibetech kan samle data fra flere datainnbrudd, kan det samme skje med et sett lekkede bilder. En enkelt eksponering som virker avgrenset, kan bli en permanent del av datamengden som andre kan samle inn og gjenbruke.
Ingenting av dette betyr at alle personer i en eksponert database vil bli ofre. Det betyr imidlertid at det vanlige rådet om å bytte passord etter et datainnbrudd er ufullstendig når de eksponerte dataene er biometriske.
Hva dette betyr for deg: Begrens eksponeringen din
Du kan ikke kontrollere hvordan et selskap lagrer data det allerede har, men du kan redusere hvor mye av dine data som er der ute, og hvor nyttige de ville vært hvis de ble eksponert.
Sjekk eksponeringen din. Slå opp e-postadressene og telefonnumrene dine i et anerkjent varslingsverktøy for datainnbrudd. Hvis de dukker opp, bør du behandle de tilknyttede kontoene som kompromitterte og bytte passordene, med et unikt passord for hver konto.
Vær selektiv med biometriske data og ID-opplastinger. Før du laster opp en selfie, et pass eller et førerkort til en verifiseringstjeneste, bør du spørre deg om det virkelig er nødvendig. Sjekk hva selskapet sier om oppbevaring og sletting. Der du har et valg, bør du foretrekke metoder som ikke lagrer ansiktet ditt.
Begrens offentlige bilder. Tjenester for omvendt bildesøk og skraping er avhengige av bilder som er lette å finne. Å stramme inn personverninnstillingene på sosiale kontoer og fjerne gamle offentlige bilder reduserer hva som kan samles inn.
Vær på vakt mot oppfølgende svindel. Lekkede personopplysninger brukes ofte til phishing, identitetstyveri og falske verifiseringsforespørsler. Vær ekstra forsiktig med uventede meldinger som viser til korrekte personopplysninger, og bekreft gjennom en offisiell kanal.
Bruk sterk kontobeskyttelse. Slå på flerfaktorautentisering der det er tilgjengelig, slik at eksponerte påloggingsopplysninger alene er mindre nyttige. En VPN kan beskytte tilkoblingen din mot lokal overvåking, men den beskytter ikke data som et selskap allerede har lagret og latt ligge eksponert.
Viktige punkter
Den bredere lærdommen fra denne databaselekkasjen hos AI-selskapet og eksponeringen av ansiktsgjenkjenningsdata er at data fra datainnbrudd ikke forsvinner. De kan samles inn, kombineres og eksponeres på nytt, og et ansikt er den ene identifikatoren du ikke kan tilbakestille.
- Sjekk om e-postadressen og telefonnummeret ditt finnes i kjente databaser over datainnbrudd, og oppdater eventuelle berørte passord.
- Del biometriske data og ID-dokumenter bare når det er nødvendig, og foretrekk tjenester med tydelige retningslinjer for sletting.
- Reduser antallet offentlige bilder knyttet til navnet ditt.
- Vær på vakt mot svindel som bruker ekte personopplysninger.
For et konkret eksempel på hva som står på spill, les vår rapport om ClarityCheck-lekkasjen av ansiktsbilder, og bruk deretter noen minutter på å gå gjennom hva du har delt med tjenester for identitetsverifisering.
