En massiv biometrisk dataeksponering kommer for dagen
En cybersikkerhetsforsker har avdekket en ubeskyttet cloud-database som inneholder mer enn 9 millioner ansiktsbilder knyttet til ClarityCheck, en USA-basert tjeneste for omvendt bildesøk og identitetsverifisering. Ifølge rapporteringen om funnet fant forskeren Jeremiah Fowler den eksponerte databasen på omtrent 450,2 GB, med anslagsvis 9 042 977 ansiktsbilder sammen med tilhørende profildata.
Databasen var etterlatt ukryptert og uten passordbeskyttelse, noe som betyr at hvem som helst som snublet over den på nettet, potensielt kunne få tilgang til de biometriske registreringene inni. Fordi ClarityChecks forretningsmodell er sentrert rundt identitetsverifisering og matching av ansikter på nettet, inkluderte de eksponerte dataene sannsynligvis ikke bare råbilder, men også profilinformasjon knyttet til ekte identiteter, noe som øker innsatsen betraktelig sammenlignet med en typisk e-post- eller passordlekkasje.
Hvorfor feilkonfigurerte databaser fortsetter å forårsake massive lekkasjer
Denne hendelsen passer inn i et mønster som har blitt urovekkende vanlig i datatrygghetsverdenen: en feilkonfigurert, ubeskyttet cloud-database. Ettersom bedrifter i økende grad er avhengige av cloud-lagring for å oppbevare sensitive data om ansatte, partnere og kunder, kommer bekvemmeligheten av enkel tilgang og integrasjon med business intelligence-verktøy ofte på bekostning av riktig sikkerhetskonfigurasjon. En database som står åpen uten autentiseringskrav, er i praksis offentlig, uansett hvor sensitivt innholdet er.
Det som gjør denne spesifikke eksponeringen bemerkelsesverdig, er naturen til dataene som er involvert. Passord kan tilbakestilles. Kredittkortnumre kan kanselleres og utstedes på nytt. Men et ansiktsbilde er permanent. Når biometriske data som dette først er eksponert, finnes det ingen måte å endre ansiktet ditt på slik du kan endre et kompromittert passord. Denne permanensen er det som skiller ansiktsgjenkjenningslekkasjer fra mer rutinemessige legitimasjonsbrudd, og det er grunnen til at sikkerhetsforskere og personvernforkjempere behandler biometriske eksponeringer med et forhøyet bekymringsnivå.
Skalaen her skiller seg også ut. Ni millioner bilder er et betydelig antall for en tjeneste som er bygget rundt identitetsverifisering, en sektor der hele verdiskapningen avhenger av tillit til at dataene som behandles, håndteres sikkert. Når et identitetsverifiseringsselskap i seg selv blir kilden til en lekkasje, undergraver det selve premisset som bransjen er bygget på.
Dette er ikke første gang i nyere tid at en stor samling registreringer knyttet til velkjente forbrukerrettede plattformer har endt opp eksponert eller stjålet. Brudd som involverer forhandlere og andre store merkevarer, som hendelsene som rammet Zara, Carnival og 7-Eleven, har vist hvor raskt millioner av kunderegistreringer kan ende opp kompromittert gjennom tredjepartsleverandører eller usikrede systemer. I et separat tilfelle ble Zara-kunders e-postadresser eksponert gjennom et tredjepartsbrudd, noe som understreker hvor sårbare data kan være selv når de passerer gjennom leverandører et selskap stoler på. ClarityCheck-eksponeringen legger biometriske data til den voksende listen over sensitive informasjonskategorier som er i risiko på grunn av grunnleggende sikkerhetstilsyn.
Hva dette betyr for deg
Hvis du noen gang har brukt et verktøy for omvendt bildesøk, sendt inn et bilde for identitetsverifisering, eller hatt bildet ditt skrapet og indeksert av en tjeneste som ClarityCheck uten at du visste om det direkte, er denne lekkasjen en påminnelse om hvor lite kontroll de fleste har over hvor ansiktsdataene deres ender opp. I motsetning til et databrudd som involverer en tjeneste du meldte deg på direkte, har mange av de som er berørt av ansiktsgjenkjenningslekkasjer aldri samtykket til at bildet deres ble samlet inn eller verifisert i utgangspunktet.
Den praktiske risikoen inkluderer identitetstyveri, siden ansiktsbilder kombinert med profildata kan brukes til å bygge overbevisende falske identiteter eller omgå ansiktsverifiseringssystemer som brukes av banker og andre institusjoner. Det reiser også bekymringer om overvåking og uautorisert profilering, siden bilder, når de først er eksponert på nettet, kan kopieres, skrapes og gjenbrukes på ubestemt tid.
Konkrete tiltak
Selv om du ikke kan slette et bilde av ditt eget ansikt fra internett, er det skritt verdt å ta. Sjekk om bildet ditt dukker opp i resultater fra omvendt bildesøk for navnet ditt, og be om fjerning fra dataformidler- eller personsøkesider der det er mulig. Aktiver flerfaktorautentisering som ikke utelukkende er avhengig av ansiktsgjenkjenning for kritiske kontoer som bank. Vær forsiktig med hvilke apper og tjenester som ber om ansiktsskanning, og les personvernerklæringer for å forstå hvor lenge biometriske data oppbevares. Til slutt, hold et øye med identitetsovervåkningstjenester som kan varsle deg hvis din personlige informasjon, inkludert biometriske identifikatorer, dukker opp i fremtidige brudd.
Ettersom ansiktsgjenkjenning og identitetsverifiseringsverktøy blir mer integrert i hverdagens digitale liv, belyser hendelser som ClarityCheck-eksponeringen hvorfor selskaper som håndterer biometriske data trenger sterkere sikkerhetsbaselinjer, og hvorfor brukere bør holde seg informert om hvor deres mest personlige data – deres eget ansikt – ender opp med å bli lagret.
