Un raport TechRadar despre o breșă GovTech care a scurs 42 de milioane de documente trece în revistă și alte baze de date expuse. Două ies în evidență. Una este o companie de dezvoltare AI, Vibetech, care a colectat date din breșe anterioare și a lăsat accidental accesibile online aproape 14 milioane de înregistrări. Cealaltă este un serviciu de căutare inversă a imaginilor și verificare a identității care a expus peste 9 milioane de imagini de recunoaștere facială. Luate împreună, scurgerea bazei de date a firmei AI și expunerea datelor de recunoaștere facială arată cum datele personale pot continua să facă rău mult timp după incidentul inițial.
Ce conțineau bazele de date expuse
Detaliile publicate până acum sunt limitate, așa că merită să fim precisi cu privire la ceea ce se știe.
Conform raportului, expunerea Vibetech a implicat aproape 14 milioane de înregistrări. Compania adunase datele din diferite breșe, iar acestea au devenit apoi accesibile online din greșeală. Incidentul principal GovTech a implicat 42 de milioane de documente, inclusiv mii descrise ca fiind pline de informații personale.
Al treilea caz a implicat imagini faciale. Peste 9 milioane au fost expuse de un serviciu de căutare inversă a imaginilor și verificare a identității. Cobertura noastră anterioară despre scurgerea ClarityCheck care expune 9 milioane de imagini faciale descrie cum un cercetător a găsit o bază de date cloud nesecurizată legată de serviciul cu sediul în SUA.
Acestea sunt incidente separate, dar împărtășesc o cauză: date stocate undeva unde nu ar fi trebuit să fie accesibile pentru oricine cu o conexiune la internet.
Cum ajung online datele agregatedin breșe
Cazul Vibetech este un tip diferit de problemă față de un hack tipic. Nimeni nu a spart neapărat sistemul. O companie a colectat informații din mai multe breșe anterioare, le-a pus într-un singur loc și apoi nu a securizat acel loc.
Acest lucru contează din câteva motive:
- Scurgerile vechi capătă o a doua viață. Datele care erau împrăștiate în incidente separate devin mai ușor de căutat și utilizat odată ce sunt compilate într-o singură colecție.
- Persoanele afectate s-ar putea să nu știe. Dacă datele tale au fost într-o breșă anterioară, s-ar putea să nu afli niciodată că o terță parte le-a adunat și ulterior le-a expus din nou.
- Configurarea greșită este o defecțiune recurentă. Bazele de date nesecurizate, fie stocare cloud, fie platforme de căutare, continuă să apară în cercetarea de securitate. Cobertura noastră despre 220 de milioane de înregistrări de călători expuse într-o scurgere APIS din Vietnam a implicat o bază de date Elasticsearch nesecurizată, un tip similar de eroare la o scară foarte diferită.
Seturile de date compilate pot, de asemenea, să faciliteze asocierea unor informații separate cu o singură persoană. O adresă de email dintr-o breșă și un număr de telefon din alta sunt mai puțin utile pentru un infractor decât un singur profil care le conține pe amândouă.
De ce o scurgere de date de la o firmă AI și datele de recunoaștere facială reprezintă un risc de durată
Majoritatea datelor scurse pot fi schimbate. Poți reseta o parolă, anula un card sau înlocui un cont. O față nu poate fi înlocuită.
Când imaginile faciale sunt expuse, în special de un serviciu construit în jurul căutării inverse a imaginilor și verificării identității, imaginile pot fi legate de nume sau alte detalii de identificare. Comentariile de securitate despre cazul ClarityCheck notează că riscul crește atunci când infractorii combină imaginile faciale cu alte informații personale. Acest lucru ar putea susține impersonarea, verificările frauduloase de identitate sau escrocheriile țintite.
Există și un efect cumulativ. Dacă un agregator precum Vibetech poate colecta date din multiple breșe, același lucru s-ar putea întâmpla cu un set de imagini scurse. O singură expunere care pare limitată poate deveni o parte permanentă a bazinului de date pe care alții îl pot colecta și reutiliza.
Nimic din toate acestea nu înseamnă că fiecare persoană dintr-o bază de date expusă va deveni o victimă. Înseamnă că sfatul obișnuit de a-ți schimba parola după o breșă este incomplet atunci când datele expuse sunt biometrice.
Ce înseamnă acest lucru pentru tine: Limitarea expunerii tale
Nu poți controla modul în care o companie stochează datele pe care le deține deja, dar poți reduce cât de multe dintre ale tale sunt acolo și cât de utile ar fi dacă ar fi expuse.
Verifică-ți expunerea. Caută-ți adresele de email și numerele de telefon într-un instrument de notificare a breșelor de încredere. Dacă apar, tratează conturile asociate ca fiind compromise și schimbă acele parole, folosind una unică pentru fiecare cont.
Fii selectiv cu încărcările biometrice și de identitate. Înainte de a încărca un selfie, pașaport sau permis de conducere către un serviciu de verificare, întreabă-te dacă este cu adevărat necesar. Verifică ce spune compania despre păstrare și ștergere. Unde există o alegere, preferă metodele care nu îți stochează fața.
Limitează fotografiile publice. Serviciile de căutare inversă a imaginilor și de scraping se bazează pe imagini ușor de găsit. Restrângerea setărilor de confidențialitate pe conturile sociale și eliminarea fotografiilor publice vechi reduce ceea ce poate fi colectat.
Fii atent la escrocherii ulterioare. Detaliile personale scurse alimentează adesea phishingul, impersonarea și cererile false de verificare. Tratează mesajele neașteptate care menționează detalii personale corecte cu precauție suplimentară și confirmă printr-un canal oficial.
Folosește o protecție puternică a contului. Activează autentificarea cu mai mulți factori acolo unde este disponibilă, astfel încât credențialele expuse singure să fie mai puțin utile. Un VPN poate proteja conexiunea ta de spionajul local, dar nu protejează datele pe care o companie le-a stocat deja și le-a lăsat expuse.
Concluzii cheie
Lecția mai amplă a acestei scurgeri de date de la firma AI și a expunerii de recunoaștere facială este că datele compromise nu dispar. Ele pot fi colectate, combinate și expuse din nou, iar o față este singurul identificator pe care nu îl poți reseta.
- Verifică dacă adresa ta de email și numărul de telefon apar în bazele de date cunoscute de breșe și actualizează orice parole afectate.
- Partajează date biometrice și documente de identitate doar când este necesar și preferă serviciile cu politici clare de ștergere.
- Reduce numărul de fotografii publice legate de numele tău.
- Rămâi vigilent la escrocherii care folosesc detalii personale reale.
Pentru un exemplu concret al mizei, citește raportul nostru despre scurgerea de imagini faciale ClarityCheck, apoi acordă-ți câteva minute pentru a revizui ce ai partajat cu serviciile de verificare a identității.
