Startup-ul de IA Mercor lovit de o majoră încălcare a datelor biometrice

Mercor, o platformă de recrutare și forță de muncă bazată pe inteligență artificială, evaluată la 10 miliarde de dolari, a suferit o încălcare semnificativă a securității datelor, care a expus unele dintre cele mai sensibile date personale imaginabile: documente de identitate emise de guvern, date biometrice faciale și vocale aparținând utilizatorilor săi. Incidentul a atras atenție pe scară largă nu doar din cauza naturii datelor furate, ci și din cauza modului în care s-a întâmplat și a consecințelor pe care le-ar putea avea pentru persoanele afectate.

Incidentul este legat de un atac asupra lanțului de aprovizionare care a vizat LiteLLM, o bibliotecă open-source utilizată pe scară largă, care ajută dezvoltatorii să integreze modele lingvistice de mari dimensiuni în aplicațiile lor. Atunci când o dependență atât de fundamentală este compromisă, pagubele se pot extinde la zeci sau sute de companii care se bazează pe ea. În acest caz, Mercor pare să se numere printre victime. Grupurile de hackeri TeamPCP și Lapsus$ au fost implicate în atac. Lapsus$ este un grup cu un istoric bine documentat de intruziuni de profil înalt împotriva unor companii tehnologice majore.

Meta, care colaborase cu Mercor, și-a suspendat aparent parteneriatul în urma știrilor despre încălcarea securității.

De ce încălcările datelor biometrice sunt deosebit de periculoase

Nu toate încălcările de date prezintă același risc. Când o parolă este furată, o poți schimba. Când un număr de card de credit este expus, banca poate emite unul nou. Datele biometrice sunt diferite. Fața ta, vocea ta și amprentele tale digitale nu pot fi reemise. Odată ce aceste date sunt expuse, ele rămân expuse permanent.

Tocmai acesta este motivul pentru care încălcarea securității Mercor este deosebit de gravă. Datele biometrice faciale combinate cu documentele de identitate guvernamentale oferă actorilor rău intenționați un set de instrumente extraordinar de puternic pentru frauda de identitate. Mai precis, ele creează condiții ideale pentru frauda deepfake, în care conținutul media sintetic generat de IA este folosit pentru a imita persoane reale. Atacatorii ar putea folosi imagini faciale și înregistrări vocale furate pentru a trece verificările de identitate, a deschide conturi financiare frauduloase sau a imita persoane în apeluri video și interviuri.

Tehnologia deepfake a avansat rapid, iar bariera în calea creării de conținut media sintetic convingător a scăzut semnificativ. Atunci când sunt disponibile materiale sursă de înaltă calitate, precum datele biometrice ale unei persoane reale, rezultatele devin și mai convingătoare și mai greu de detectat.

Vulnerabilitatea lanțului de aprovizionare în centrul acestei încălcări

Unul dintre cele mai importante aspecte ale acestui incident este vectorul de atac: o compromitere a lanțului de aprovizionare. În loc să atace Mercor direct, actorii amenințărilor au vizat LiteLLM, o bibliotecă de care Mercor și multe alte companii de IA depind. Aceasta este o strategie de atac bine stabilită și din ce în ce mai frecventă.

Atacurile asupra lanțului de aprovizionare sunt dificil de contracarat deoarece exploatează încrederea. Atunci când o companie integrează o bibliotecă open-source, are în mod implicit încredere că acel cod este curat. Injectarea de cod malițios la nivelul bibliotecii înseamnă că orice companie care preia actualizări ar putea instala involuntar o ușă din spate sau o componentă de colectare a datelor.

Această încălcare servește drept un memento că postura de securitate a unei organizații este la fel de puternică pe cât este cel mai slab element din dependențele sale software. Pentru utilizatori, evidențiază faptul că datele tale pot fi puse în pericol de decizii luate la mai multe niveluri distanță față de compania căreia i-ai furnizat efectiv acele date.

Ce înseamnă asta pentru tine

Dacă ai folosit platforma Mercor și ai trimis documente de verificare a identității sau ai participat la orice colectare de date biometrice, ar trebui să tratezi datele tale de identitate ca potențial compromise. Iată ce poți face chiar acum:

  • Monitorizează frauda de identitate. Configurează alerte la banca ta și la instituțiile financiare și verifică rapoartele tale de credit pentru activitate neobișnuită.
  • Fii precaut cu verificările de identitate bazate pe video. Dacă cineva pretinde că ești tu într-un context de verificare video, acea afirmație este acum mai ușor de falsificat folosind instrumente deepfake.
  • Pune la îndoială contactele nesolicitate. Escrocii care dețin datele tale de identitate pot încerca atacuri de phishing care par neobișnuit de legitime deoarece știu deja detalii despre tine.
  • Limitează partajarea datelor biometrice pe viitor. Fii selectiv cu privire la serviciile cărora le furnizezi scanări faciale, înregistrări vocale sau acte de identitate. Întreabă-te dacă serviciul necesită cu adevărat acel nivel de date.
  • Folosește credențiale puternice și unice peste tot. Deși parolele singure nu pot proteja datele biometrice, reducerea suprafeței generale de atac este întotdeauna utilă.
  • Criptează-ți comunicațiile. Utilizarea unui VPN atunci când te conectezi la servicii, în special prin rețele publice sau nesigure, reduce riscul interceptării suplimentare a datelor.

Încălcarea securității Mercor este o ilustrare clară a motivului pentru care stocarea centralizată a datelor biometrice extrem de sensibile creează un risc concentrat. Atunci când o singură companie deține scanări faciale, amprente vocale și documente de identitate pentru un număr mare de persoane, un singur atac reușit poate avea consecințe care durează ani de zile.

A rămâne informat cu privire la încălcările care afectează serviciile pe care le utilizezi, a înțelege ce date ai partajat cu care platforme și a adopta o abordare proactivă față de identitatea ta digitală se numără printre cei mai practici pași pe care îi poți face. Încălcările de date nu vor dispărea, dar cu cât știi mai multe despre locul unde trăiesc informațiile tale cele mai sensibile, cu atât ești mai bine poziționat să reacționezi atunci când ceva nu merge bine.