Um relatório do TechRadar sobre uma violação na GovTech que vazou 42 milhões de documentos também reúne vários outros bancos de dados expostos. Dois se destacam. Um é uma empresa de desenvolvimento de IA, a Vibetech, que coletou dados de violações anteriores e acidentalmente deixou quase 14 milhões de registros acessíveis online. O outro é um serviço de busca reversa de imagens e verificação de identidade que expôs mais de 9 milhões de imagens de reconhecimento facial. Juntos, o vazamento no banco de dados da empresa de IA e a exposição de reconhecimento facial mostram como dados pessoais podem continuar causando danos muito depois do incidente original.
O que os bancos de dados expostos continham
Os detalhes publicados até agora são limitados, por isso vale ser preciso sobre o que se sabe.
De acordo com o relatório, a exposição da Vibetech envolveu quase 14 milhões de registros. A empresa havia reunido os dados de diferentes violações, e eles então se tornaram acessíveis online por acidente. O incidente principal da GovTech envolveu 42 milhões de documentos, incluindo milhares descritos como repletos de informações pessoais.
O terceiro caso envolveu imagens faciais. Mais de 9 milhões foram expostas por um serviço de busca reversa de imagens e verificação de identidade. Nossa cobertura anterior do vazamento da ClarityCheck que expôs 9 milhões de imagens faciais descreve como um pesquisador encontrou um banco de dados na nuvem sem proteção vinculado ao serviço sediado nos EUA.
São incidentes separados, mas compartilham uma causa: dados armazenados em algum lugar onde não deveriam estar acessíveis a qualquer pessoa com uma conexão à internet.
Como dados agregados de violações acabam online
O caso da Vibetech é um tipo diferente de problema em relação a um hack típico. Ninguém necessariamente invadiu o sistema. Uma empresa coletou informações de várias violações anteriores, colocou-as em um único lugar e depois não conseguiu proteger esse lugar.
Isso importa por alguns motivos:
- Vazamentos antigos ganham uma segunda vida. Dados que estavam dispersos em incidentes separados tornam-se mais fáceis de pesquisar e usar quando compilados em uma única coleção.
- As pessoas afetadas podem não saber. Se seus dados estavam em uma violação anterior, você pode nunca ficar sabendo que um terceiro os reuniu e depois os expôs novamente.
- Erros de configuração são uma falha recorrente. Bancos de dados sem proteção, sejam de armazenamento em nuvem ou plataformas de busca, continuam aparecendo em pesquisas de segurança. Nossa cobertura do vazamento de 220 milhões de registros de viajantes no APIS do Vietnã envolveu um banco de dados Elasticsearch sem proteção, um tipo semelhante de erro em uma escala muito diferente.
Conjuntos de dados compilados também podem facilitar a vinculação de informações separadas a uma única pessoa. Um endereço de e-mail em uma violação e um número de telefone em outra são menos úteis para um criminoso do que um único perfil que contenha ambos.
Por que um vazamento no banco de dados de uma empresa de IA e dados de reconhecimento facial são um risco duradouro
A maioria dos dados vazados pode ser alterada. Você pode redefinir uma senha, cancelar um cartão ou substituir uma conta. Um rosto não pode ser substituído.
Quando imagens faciais são expostas, particularmente por um serviço construído em torno de busca reversa de imagens e verificação de identidade, as imagens podem estar vinculadas a nomes ou outros detalhes de identificação. Comentários de segurança sobre o caso ClarityCheck observam que o risco aumenta quando criminosos combinam imagens faciais com outras informações pessoais. Isso pode favorecer a personificação, verificações de identidade fraudulentas ou golpes direcionados.
Há também um efeito cumulativo. Se um agregador como a Vibetech pode coletar dados de múltiplas violações, o mesmo pode acontecer com um conjunto de imagens vazadas. Uma única exposição que parece contida pode se tornar uma parte permanente do conjunto de dados que outros podem coletar e reutilizar.
Nada disso significa que toda pessoa em um banco de dados exposto se tornará uma vítima. Significa que o conselho habitual de trocar sua senha após uma violação é incompleto quando os dados expostos são biométricos.
O que isso significa para você: limitando sua exposição
Você não pode controlar como uma empresa armazena dados que já possui, mas pode reduzir quanto dos seus dados está por aí e quão úteis eles seriam se expostos.
Verifique sua exposição. Procure seus endereços de e-mail e números de telefone em uma ferramenta confiável de notificação de violações. Se aparecerem, trate as contas associadas como comprometidas e troque essas senhas, usando uma senha única para cada conta.
Seja seletivo com uploads biométricos e de documentos de identidade. Antes de enviar uma selfie, passaporte ou carteira de motorista para um serviço de verificação, pergunte se isso é realmente necessário. Verifique o que a empresa diz sobre retenção e exclusão. Onde houver escolha, prefira métodos que não armazenem seu rosto.
Limite fotos públicas. Serviços de busca reversa de imagens e de scraping dependem de imagens fáceis de encontrar. Restringir as configurações de privacidade em contas sociais e remover fotos públicas antigas reduz o que pode ser coletado.
Fique atento a golpes secundários. Detalhes pessoais vazados frequentemente alimentam phishing, personificação e pedidos falsos de verificação. Trate mensagens inesperadas que mencionem detalhes pessoais precisos com cautela extra, e confirme por um canal oficial.
Use proteção forte para contas. Ative a autenticação multifator onde estiver disponível, para que credenciais expostas sozinhas sejam menos úteis. Uma VPN pode proteger sua conexão contra bisbilhotagem local, mas não protege dados que uma empresa já armazenou e deixou expostos.
Principais conclusões
A lição mais ampla deste vazamento no banco de dados de uma empresa de IA e da exposição de reconhecimento facial é que dados violados não desaparecem. Eles podem ser coletados, combinados e expostos novamente, e um rosto é o único identificador que você não pode redefinir.
- Verifique se seu e-mail e número de telefone aparecem em bancos de dados de violações conhecidos, e atualize quaisquer senhas afetadas.
- Compartilhe dados biométricos e documentos de identidade apenas quando necessário, e prefira serviços com políticas claras de exclusão.
- Reduza o número de fotos públicas vinculadas ao seu nome.
- Fique alerta a golpes que usam detalhes pessoais reais.
Para um exemplo concreto do que está em jogo, leia nosso relatório sobre o vazamento de imagens faciais da ClarityCheck, depois reserve alguns minutos para revisar o que você compartilhou com serviços de verificação de identidade.
