В материале TechRadar об утечке GovTech, в результате которой были раскрыты 42 миллиона документов, также упоминается ещё несколько незащищённых баз данных. Две из них особенно выделяются. Одна принадлежит компании по разработке ИИ Vibetech, которая собирала данные из прежних утечек и по ошибке оставила почти 14 миллионов записей в открытом доступе в интернете. Другая — сервису обратного поиска по изображениям и проверки личности, который раскрыл более 9 миллионов изображений для распознавания лиц. Вместе утечка базы данных ИИ-компании и раскрытие данных распознавания лиц показывают, как персональные данные могут причинять вред ещё долго после первоначального инцидента.

Что содержали раскрытые базы данных

Опубликованных подробностей пока немного, поэтому важно точно разграничить то, что известно.

Согласно материалу, в случае Vibetech были раскрыты почти 14 миллионов записей. Компания собрала данные из разных утечек, после чего они по ошибке оказались доступны в интернете. Главный инцидент GovTech затронул 42 миллиона документов, в том числе тысячи, описанные как насыщенные персональной информацией.

Третий случай касался изображений лиц. Более 9 миллионов из них раскрыл сервис обратного поиска по изображениям и проверки личности. В нашем предыдущем материале об утечке ClarityCheck, раскрывшей 9 миллионов изображений лиц, рассказывается, как исследователь обнаружил незащищённую облачную базу данных, связанную с этим американским сервисом.

Это отдельные инциденты, но у них общая причина: данные хранились там, где к ним мог получить доступ любой, у кого есть подключение к интернету.

Как агрегированные данные из утечек оказываются в сети

Случай Vibetech — это иная проблема, чем типичный взлом. Никто не обязательно что-то взламывал. Компания собрала информацию из нескольких прежних утечек, поместила её в одно место, а затем не обеспечила защиту этого места.

Это важно по нескольким причинам:

  • Старые утечки получают вторую жизнь. Данные, разбросанные по отдельным инцидентам, становится легче искать и использовать, когда они собраны в единую коллекцию.
  • Пострадавшие могут ничего не знать. Если ваши данные попали в прежнюю утечку, вы можете так и не узнать, что третья сторона собрала их, а затем снова раскрыла.
  • Ошибки конфигурации — повторяющаяся проблема. Незащищённые базы данных, будь то облачные хранилища или поисковые платформы, постоянно обнаруживаются в ходе исследований безопасности. Наш материал о 220 миллионах записей о путешественниках, раскрытых в результате утечки APIS во Вьетнаме, касался незащищённой базы данных Elasticsearch — похожей ошибки, но совсем другого масштаба.

Собранные наборы данных также упрощают привязку разрозненных сведений к одному человеку. Адрес электронной почты из одной утечки и номер телефона из другой менее полезны преступнику, чем единый профиль, содержащий и то, и другое.

Почему утечка базы данных ИИ-компании и данные распознавания лиц — это долгосрочный риск

Большинство утёкших данных можно изменить. Можно сменить пароль, заблокировать карту или заменить учётную запись. Лицо заменить нельзя.

Когда раскрываются изображения лиц, особенно сервисом, построенным на обратном поиске по изображениям и проверке личности, эти изображения могут быть связаны с именами или другими идентифицирующими сведениями. В комментариях экспертов по безопасности к случаю ClarityCheck отмечается, что риск возрастает, когда преступники объединяют изображения лиц с другой персональной информацией. Это может способствовать выдаче себя за другого человека, мошенническим проверкам личности или целевым мошенническим схемам.

Существует и накопительный эффект. Если агрегатор вроде Vibetech может собирать данные из нескольких утечек, то же самое может произойти и с набором утёкших изображений. Единичная утечка, которая кажется локализованной, может стать постоянной частью массива данных, который другие могут собирать и использовать повторно.

Это не значит, что каждый человек из раскрытой базы данных станет жертвой. Но это означает, что привычный совет сменить пароль после утечки недостаточен, если раскрытые данные являются биометрическими.

Что это значит для вас: как ограничить свою уязвимость

Вы не можете контролировать, как компания хранит уже имеющиеся у неё данные, но можете сократить объём своих данных в открытом доступе и уменьшить их ценность в случае утечки.

Проверьте свою уязвимость. Проверьте свои адреса электронной почты и номера телефонов в надёжном сервисе уведомлений об утечках. Если они там есть, считайте связанные учётные записи скомпрометированными и смените пароли, используя уникальный пароль для каждой учётной записи.

Будьте избирательны при загрузке биометрии и документов. Прежде чем загружать селфи, паспорт или водительское удостоверение в сервис проверки, спросите себя, действительно ли это необходимо. Узнайте, что компания сообщает о сроках хранения и удалении данных. Если есть выбор, отдавайте предпочтение методам, при которых ваше лицо не сохраняется.

Ограничьте публичные фотографии. Сервисы обратного поиска по изображениям и сбора данных опираются на изображения, которые легко найти. Ужесточение настроек конфиденциальности в социальных сетях и удаление старых публичных фотографий сокращает то, что можно собрать.

Остерегайтесь последующих мошеннических схем. Утёкшие персональные данные часто используются для фишинга, выдачи себя за другого человека и поддельных запросов на проверку. Относитесь с особой осторожностью к неожиданным сообщениям, в которых упоминаются точные персональные данные, и проверяйте их через официальный канал.

Используйте надёжную защиту учётных записей. Включайте многофакторную аутентификацию, где это возможно, чтобы одних лишь раскрытых учётных данных было недостаточно. VPN может защитить ваше подключение от локальной слежки, но не защищает данные, которые компания уже сохранила и оставила в открытом доступе.

Основные выводы

Главный урок этой утечки базы данных ИИ-компании и раскрытия данных распознавания лиц заключается в том, что утёкшие данные не исчезают. Их можно собрать, объединить и раскрыть снова, а лицо — единственный идентификатор, который нельзя сбросить.

  1. Проверьте, есть ли ваши адрес электронной почты и номер телефона в известных базах утечек, и смените все затронутые пароли.
  2. Передавайте биометрические данные и документы, удостоверяющие личность, только при необходимости и отдавайте предпочтение сервисам с чёткой политикой удаления данных.
  3. Сократите количество публичных фотографий, связанных с вашим именем.
  4. Будьте бдительны в отношении мошеннических схем, использующих реальные персональные данные.

Чтобы увидеть конкретный пример того, что поставлено на карту, прочитайте наш материал об утечке изображений лиц ClarityCheck, а затем уделите несколько минут проверке того, чем вы поделились с сервисами проверки личности.