Ogromne naruszenie danych biometrycznych wychodzi na jaw

Badacz cyberbezpieczeństwa odkrył niezabezpieczoną bazę danych w chmurze zawierającą ponad 9 milionów zdjęć twarzy powiązanych z ClarityCheck, amerykańską usługą odwróconego wyszukiwania obrazów i weryfikacji tożsamości. Zgodnie z raportem dotyczącym tego odkrycia, badacz Jeremiah Fowler znalazł odsłoniętą bazę danych o rozmiarze około 450,2 GB, zawierającą szacunkowo 9 042 977 zdjęć twarzy wraz z powiązanymi danymi profilowymi.

Baza danych pozostała nieszyfrowana i bez zabezpieczenia hasłem, co oznacza, że każdy, kto na nią trafił w sieci, mógł potencjalnie uzyskać dostęp do znajdujących się w niej danych biometrycznych. Ponieważ model biznesowy ClarityCheck opiera się na weryfikacji tożsamości i dopasowywaniu twarzy w całej sieci, odsłonięte dane prawdopodobnie obejmowały nie tylko surowe zdjęcia, ale także informacje profilowe powiązane z prawdziwymi tożsamościami, co znacznie podnosi stawkę w porównaniu z typowym wyciekiem haseł lub adresów e-mail.

Dlaczego źle skonfigurowane bazy danych wciąż powodują ogromne wycieki

Ten incydent wpisuje się w wzorzec, który stał się niepokojąco powszechny w świecie bezpieczeństwa danych: źle skonfigurowana, niezabezpieczona baza danych w chmurze. W miarę jak firmy w coraz większym stopniu polegają na przechowywaniu w chmurze wrażliwych danych o pracownikach, partnerach i klientach, wygoda łatwego dostępu i integracji z narzędziami analityki biznesowej często odbywa się kosztem prawidłowej konfiguracji zabezpieczeń. Baza danych pozostawiona otwarta bez wymogów uwierzytelniania jest de facto publiczna, niezależnie od tego, jak wrażliwe są jej treści.

To, co czyni to konkretne odsłonięcie godnym uwagi, to charakter danych, których dotyczy. Hasła można zresetować. Numery kart kredytowych można anulować i wydać ponownie. Ale zdjęcie twarzy jest trwałe. Gdy dane biometryczne tego rodzaju zostaną ujawnione, nie ma sposobu, aby zmienić swoją twarz tak, jak można zmienić skompromitowane hasło. Ta trwałość odróżnia wycieki danych z rozpoznawania twarzy od bardziej rutynowych naruszeń danych uwierzytelniających i dlatego badacze bezpieczeństwa oraz orędownicy prywatności traktują ujawnienia danych biometrycznych ze zwiększoną ostrożnością.

Skala również się tu wyróżnia. Dziewięć milionów zdjęć to znacząca liczba dla usługi zbudowanej wokół weryfikacji tożsamości, sektora, w którym cała propozycja wartości zależy od zaufania, że przetwarzane dane są bezpiecznie zarządzane. Kiedy firma zajmująca się weryfikacją tożsamości sama staje się źródłem wycieku, podważa to samą podstawę, na której zbudowana jest ta branża.

To nie pierwszy raz w ostatnim czasie, kiedy duży zbiór rekordów powiązanych z dobrze znanymi platformami skierowanymi do konsumentów został ujawniony lub skradziony. Naruszenia dotyczące sprzedawców detalicznych i innych dużych marek, takie jak incydenty z udziałem Zara, Carnival i 7-Eleven, pokazały, jak szybko miliony rekordów klientów mogą zostać skompromitowane przez zewnętrznych dostawców lub niezabezpieczone systemy. W osobnym przypadku adresy e-mail klientów Zara zostały ujawnione przez naruszenie u zewnętrznego dostawcy, co podkreśla, jak podatne mogą być dane, nawet gdy przechodzą przez dostawców, którym firma ufa. Ekspozycja ClarityCheck dodaje dane biometryczne do tej rosnącej listy kategorii wrażliwych informacji zagrożonych podstawowymi błędami w zabezpieczeniach.

Co to oznacza dla Ciebie

Jeśli kiedykolwiek korzystałeś z narzędzia do odwróconego wyszukiwania obrazów, przesłałeś zdjęcie w celu weryfikacji tożsamości lub Twoje zdjęcie zostało pobrane i zindeksowane przez usługę taką jak ClarityCheck bez Twojej bezpośredniej wiedzy, ten wyciek jest przypomnieniem, jak niewielką kontrolę większość ludzi ma nad tym, gdzie trafiają ich dane dotyczące twarzy. W przeciwieństwie do naruszenia danych dotyczącego usługi, do której zarejestrowałeś się bezpośrednio, wiele osób dotkniętych wyciekami z rozpoznawania twarzy nigdy nie wyraziło zgody na pobranie lub weryfikację swojego wizerunku.

Praktyczne ryzyko obejmuje kradzież tożsamości, ponieważ zdjęcia twarzy w połączeniu z danymi profilowymi mogą zostać wykorzystane do tworzenia przekonujących fałszywych tożsamości lub obejścia systemów weryfikacji twarzy stosowanych przez banki i inne instytucje. Budzi to również obawy dotyczące inwigilacji i nieautoryzowanego profilowania, ponieważ gdy zdjęcia zostaną ujawnione w sieci, mogą być kopiowane, pobierane i wykorzystywane w nieskończoność.

Praktyczne zalecenia

Chociaż nie możesz usunąć zdjęcia własnej twarzy z internetu, warto podjąć pewne kroki. Sprawdź, czy Twój wizerunek pojawia się w wynikach odwróconego wyszukiwania obrazów dla Twojego nazwiska, i poproś o usunięcie z witryn brokerów danych lub wyszukiwarek osób, jeśli to możliwe. Włącz uwierzytelnianie wieloskładnikowe, które nie opiera się wyłącznie na rozpoznawaniu twarzy w przypadku ważnych kont, takich jak bankowość. Bądź ostrożny, które aplikacje i usługi proszą o skan twarzy, i czytaj polityki prywatności, aby zrozumieć, jak długo dane biometryczne są przechowywane. Na koniec obserwuj usługi monitorowania tożsamości, które mogą Cię ostrzec, jeśli Twoje dane osobowe, w tym identyfikatory biometryczne, pojawią się w przyszłych naruszeniach.

W miarę jak narzędzia do rozpoznawania twarzy i weryfikacji tożsamości stają się coraz bardziej osadzone w codziennym życiu cyfrowym, incydenty takie jak ekspozycja ClarityCheck podkreślają, dlaczego firmy przetwarzające dane biometryczne potrzebują silniejszych podstaw bezpieczeństwa i dlaczego użytkownicy powinni być na bieżąco informowani o tym, gdzie ich najbardziej osobiste dane, ich własna twarz, są przechowywane.