AI-oppstartsbedriften Mercor rammet av stort biometrisk databrudd

Mercor, en AI-basert rekrutterings- og arbeidsplattform verdsatt til 10 milliarder dollar, har lidd et betydelig databrudd som eksponerte noe av det mest sensitive personlige dataen man kan tenke seg: offentlig utstedte ID-dokumenter, ansiktsbiometri og stemmebiometri tilhørende plattformens brukere. Bruddet har fått bred oppmerksomhet ikke bare på grunn av arten av de stjålne dataene, men på grunn av hvordan det skjedde og hvilke konsekvenser det kan få for berørte personer.

Hendelsen er knyttet til et forsyningskjedeangrep rettet mot LiteLLM, et mye brukt åpen kildekode-bibliotek som hjelper utviklere med å integrere store språkmodeller i applikasjonene sine. Når en så grunnleggende avhengighet kompromitteres, kan skadeomfanget bre seg til dusinvis eller hundrevis av selskaper som er avhengige av den. I dette tilfellet ser Mercor ut til å være blant ofrene. Hackergruppene TeamPCP og Lapsus$ har blitt implisert i angrepet. Lapsus$ er en gruppe med en veldokumentert historie med høyprofilerte innbrudd mot store teknologiselskaper.

Meta, som hadde samarbeidet med Mercor, har angivelig satt dette partnerskapet på pause etter nyheten om bruddet.

Hvorfor biometriske databrudd er spesielt farlige

Ikke alle databrudd medfører samme risiko. Når et passord blir stjålet, kan du endre det. Når et kredittkortnummer eksponeres, kan banken utstede et nytt. Biometriske data er annerledes. Ansiktet ditt, stemmen din og fingeravtrykkene dine kan ikke utstedes på nytt. Når disse dataene først er ute, er de ute permanent.

Dette er det som gjør Mercor-bruddet spesielt alvorlig. Ansiktsbiometri kombinert med offentlig utstedte ID-dokumenter gir kriminelle aktører et ekstremt kraftfullt verktøysett for identitetssvindel. Mer konkret skaper de ideelle betingelser for deepfake-svindel, der syntetiske medier generert av AI brukes til å utgi seg for å være ekte personer. Angripere kan potensielt bruke stjålne ansiktsbilder og stemmeopptak for å bestå identitetsverifiseringskontroller, åpne falske finanskontoer eller utgi seg for å være enkeltpersoner i videosamtaler og intervjuer.

Deepfake-teknologien har utviklet seg raskt, og terskelen for å lage overbevisende syntetiske medier har sunket betydelig. Når høykvalitets kildemateriale som en ekte persons biometriske data er tilgjengelig, blir resultatene enda mer overbevisende og vanskeligere å oppdage.

Forsyningskjedesårbarheten i sentrum av dette bruddet

Et av de viktigste aspektene ved denne hendelsen er angrepsvektoren: et forsyningskjedekompromiss. I stedet for å angripe Mercor direkte, rettet trusselsaktørene seg mot LiteLLM, et bibliotek som Mercor og mange andre AI-selskaper er avhengige av. Dette er en veletablert og stadig mer vanlig angrepsstrategi.

Forsyningskjedeangrep er vanskelige å forsvare seg mot fordi de utnytter tillit. Når et selskap integrerer et åpen kildekode-bibliotek, stoler det i utgangspunktet på at koden er ren. Å injisere ondsinnet kode på biblioteksnivå betyr at ethvert selskap som henter inn oppdateringer utilsiktet kan installere en bakdør eller en datainnhentingskomponent.

Dette bruddet fungerer som en påminnelse om at en organisasjons sikkerhetsstilling bare er så sterk som det svakeste leddet i programvareav­hengighetene. For brukere fremhever det at dataene dine kan settes i fare av beslutninger tatt flere lag unna selskapet du faktisk overleverte dataene til.

Hva dette betyr for deg

Hvis du har brukt Mercors plattform og sendt inn identitetsverifiseringsdokumenter eller deltatt i noen form for innsamling av biometriske data, bør du behandle identitetsdataene dine som potensielt kompromittert. Her er hva du kan gjøre akkurat nå:

  • Overvåk for identitetssvindel. Sett opp varsler hos banken din og finansinstitusjoner, og sjekk kredittrapportene dine for uvanlig aktivitet.
  • Vær forsiktig med videobaserte identitetskontroller. Hvis noen hevder å være deg i en videobasert verifiseringssituasjon, er det nå enklere å forfalske dette ved hjelp av deepfake-verktøy.
  • Vær kritisk til uoppfordret kontakt. Svindlere med ID-dataene dine kan forsøke phishing-angrep som fremstår som uvanlig legitime fordi de allerede kjenner detaljer om deg.
  • Begrens deling av biometriske data fremover. Vær selektiv med hvilke tjenester du gir ansiktsskanninger, stemmeopptak eller offentlige ID-er til. Spør om tjenesten virkelig krever det nivået av data.
  • Bruk sterke, unike påloggingsopplysninger overalt. Selv om passord alene ikke kan beskytte biometriske data, er det alltid verdt å redusere den samlede angrepsflaten din.
  • Krypter kommunikasjonen din. Bruk av VPN når du kobler til tjenester, spesielt over offentlige eller upålitelige nettverk, reduserer risikoen for ytterligere dataavskjæring.

Mercor-bruddet er en tydelig illustrasjon på hvorfor sentralisert lagring av svært sensitiv biometrisk data skaper konsentrert risiko. Når ett selskap oppbevarer ansiktsskanninger, stemmeprofiler og identitetsdokumenter for et stort antall mennesker, kan et enkelt vellykket angrep få konsekvenser som varer i årevis.

Å holde seg informert om brudd som påvirker tjenester du bruker, forstå hvilke data du har delt med hvilke plattformer, og ta en proaktiv tilnærming til din digitale identitet er blant de mest praktiske skrittene du kan ta. Databrudd kommer ikke til å forsvinne, men jo mer du vet om hvor den mest sensitive informasjonen din befinner seg, desto bedre rustet er du til å reagere når noe går galt.