Raport TechRadar o naruszeniu danych GovTech, w wyniku którego wyciekło 42 miliony dokumentów, podsumowuje również kilka innych ujawnionych baz danych. Dwie się wyróżniają. Jedna to firma zajmująca się rozwojem AI, Vibetech, która gromadziła dane z wcześniejszych naruszeń i przypadkowo pozostawiła prawie 14 milionów rekordów dostępnych online. Druga to usługa wyszukiwania obrazem i weryfikacji tożsamości, która ujawniła ponad 9 milionów obrazów rozpoznawania twarzy. Razem wzięte, wyciek bazy danych firmy AI i ekspozycja danych rozpoznawania twarzy pokazują, jak dane osobowe mogą wyrządzać krzywdę na długo po pierwotnym incydencie.

Co zawierały ujawnione bazy danych

Opublikowane dotychczas szczegóły są ograniczone, więc warto być precyzyjnym co do tego, co wiadomo.

Według raportu ekspozycja Vibetech obejmowała prawie 14 milionów rekordów. Firma zgromadziła dane z różnych naruszeń, a następnie stały się one przypadkowo dostępne online. Główny incydent GovTech obejmował 42 miliony dokumentów, w tym tysiące opisanych jako wypełnione danymi osobowymi.

Trzeci przypadek dotyczył obrazów twarzy. Ponad 9 milionów zostało ujawnionych przez usługę wyszukiwania obrazem i weryfikacji tożsamości. W naszym wcześniejszym materiale o wycieku ClarityCheck ujawniającym 9 milionów obrazów twarzy opisujemy, jak badacz znalazł niezabezpieczoną bazę danych w chmurze powiązaną z usługą z siedzibą w USA.

To odrębne incydenty, ale łączy je jedna przyczyna: dane przechowywane w miejscu, do którego nie powinien mieć dostępu nikt z połączeniem internetowym.

Jak zagregowane dane z naruszeń trafiają online

Przypadek Vibetech to problem innego rodzaju niż typowy atak hakerski. Nikt niekoniecznie się włamał. Firma zebrała informacje z kilku wcześniejszych naruszeń, umieściła je w jednym miejscu, a następnie nie zabezpieczyła tego miejsca.

Ma to znaczenie z kilku powodów:

  • Stare wycieki zyskują drugie życie. Dane, które były rozproszone w osobnych incydentach, stają się łatwiejsze do przeszukania i wykorzystania, gdy zostaną skompilowane w jedną kolekcję.
  • Osoby poszkodowane mogą nie wiedzieć. Jeśli Twoje dane znalazły się we wcześniejszym naruszeniu, możesz nigdy nie dowiedzieć się, że strona trzecia je zgromadziła, a później ponownie ujawniła.
  • Błędna konfiguracja to powracający problem. Niezabezpieczone bazy danych, czy to pamięć w chmurze, czy platformy wyszukiwania, wciąż pojawiają się w badaniach bezpieczeństwa. Nasz materiał o 220 milionach rekordów podróżnych ujawnionych w wycieku APIS w Wietnamie dotyczył niezabezpieczonej bazy danych Elasticsearch — podobny rodzaj błędu w zupełnie innej skali.

Skompilowane zbiory danych mogą również ułatwić powiązanie oddzielnych informacji z jedną osobą. Adres e-mail z jednego naruszenia i numer telefonu z innego są dla przestępcy mniej użyteczne niż jeden profil zawierający oba.

Dlaczego wyciek bazy danych firmy AI i dane rozpoznawania twarzy to trwałe ryzyko

Większość ujawnionych danych można zmienić. Możesz zresetować hasło, zastrzec kartę lub wymienić konto. Twarzy nie można wymienić.

Gdy obrazy twarzy zostaną ujawnione, szczególnie przez usługę opartą na wyszukiwaniu obrazem i weryfikacji tożsamości, obrazy mogą być powiązane z nazwiskami lub innymi danymi identyfikującymi. Komentarze ekspertów ds. bezpieczeństwa dotyczące przypadku ClarityCheck wskazują, że ryzyko rośnie, gdy przestępcy łączą obrazy twarzy z innymi danymi osobowymi. Może to wspierać podszywanie się, fałszywe weryfikacje tożsamości lub ukierunkowane oszustwa.

Występuje również efekt kumulacji. Jeśli agregator taki jak Vibetech może gromadzić dane z wielu naruszeń, to samo może przytrafić się zestawowi ujawnionych obrazów. Pojedyncza ekspozycja, która wygląda na ograniczoną, może stać się trwałym elementem puli danych, które inni mogą gromadzić i ponownie wykorzystywać.

Nic z tego nie oznacza, że każda osoba w ujawnionej bazie danych stanie się ofiarą. Oznacza to jednak, że zwykła rada, by zmienić hasło po naruszeniu, jest niepełna, gdy ujawnione dane są danymi biometrycznymi.

Co to oznacza dla Ciebie: ograniczanie ekspozycji

Nie możesz kontrolować, jak firma przechowuje dane, które już posiada, ale możesz ograniczyć, ile Twoich danych jest dostępnych i jak użyteczne by były, gdyby zostały ujawnione.

Sprawdź swoją ekspozycję. Sprawdź swoje adresy e-mail i numery telefonów w renomowanym narzędziu do powiadamiania o naruszeniach. Jeśli się pojawią, traktuj powiązane konta jako przejęte i zmień te hasła, używając unikalnego hasła dla każdego konta.

Bądź selektywny przy przesyłaniu danych biometrycznych i dokumentów tożsamości. Zanim prześlesz selfie, paszport lub prawo jazdy do usługi weryfikacji, zapytaj, czy jest to naprawdę wymagane. Sprawdź, co firma mówi o przechowywaniu i usuwaniu danych. Tam, gdzie jest wybór, preferuj metody, które nie przechowują Twojej twarzy.

Ogranicz publiczne zdjęcia. Usługi wyszukiwania obrazem i scrapingu opierają się na obrazach, które są łatwe do znalezienia. Zaostrzenie ustawień prywatności na kontach społecznościowych i usunięcie starych publicznych zdjęć zmniejsza to, co można zgromadzić.

Uważaj na oszustwa następcze. Ujawnione dane osobowe często napędzają phishing, podszywanie się i fałszywe prośby o weryfikację. Traktuj nieoczekiwane wiadomości odwołujące się do prawdziwych danych osobowych ze szczególną ostrożnością i potwierdzaj je oficjalnym kanałem.

Stosuj silną ochronę konta. Włącz uwierzytelnianie wieloskładnikowe, gdzie jest dostępne, aby same ujawnione dane uwierzytelniające były mniej użyteczne. VPN może chronić Twoje połączenie przed lokalnym podsłuchem, ale nie chroni danych, które firma już przechowuje i pozostawiła ujawnione.

Najważniejsze wnioski

Szersza lekcja z tego wycieku bazy danych firmy AI i ekspozycji danych rozpoznawania twarzy jest taka, że ujawnione dane nie znikają. Mogą być gromadzone, łączone i ponownie ujawniane, a twarz to jedyny identyfikator, którego nie można zresetować.

  1. Sprawdź, czy Twój adres e-mail i numer telefonu występują w znanych bazach naruszeń, i zaktualizuj wszelkie dotknięte hasła.
  2. Udostępniaj dane biometryczne i dokumenty tożsamości tylko wtedy, gdy jest to konieczne, i preferuj usługi z jasnymi zasadami usuwania danych.
  3. Zmniejsz liczbę publicznych zdjęć powiązanych z Twoim nazwiskiem.
  4. Bądź czujny na oszustwa wykorzystujące prawdziwe dane osobowe.

Aby zobaczyć konkretny przykład tego, co jest stawką, przeczytaj nasz raport o wycieku obrazów twarzy ClarityCheck, a następnie poświęć kilka minut na przegląd tego, co udostępniłeś usługom weryfikacji tożsamości.