En TechRadar-rapport om en GovTech-incident som läckte 42 miljoner dokument sammanfattar också flera andra exponerade databaser. Två sticker ut. Den ena är ett AI-utvecklingsföretag, Vibetech, som samlade in data från tidigare intrång och av misstag lämnade nästan 14 miljoner poster tillgängliga online. Den andra är en tjänst för omvänd bildsökning och identitetsverifiering som exponerade mer än 9 miljoner ansiktsigenkänningsbilder. Tillsammans visar läckan i AI-företagets databas och exponeringen av ansiktsigenkänningsdata hur personuppgifter kan fortsätta orsaka skada långt efter den ursprungliga incidenten.

Vad de exponerade databaserna innehöll

De detaljer som hittills publicerats är begränsade, så det är värt att vara precis om vad som är känt.

Enligt rapporten omfattade Vibetech-exponeringen nästan 14 miljoner poster. Företaget hade samlat in data från olika intrång, och den blev sedan åtkomlig online av misstag. Den omtalade GovTech-incidenten omfattade 42 miljoner dokument, inklusive tusentals som beskrevs som fullpackade med personuppgifter.

Det tredje fallet gällde ansiktsbilder. Mer än 9 miljoner exponerades av en tjänst för omvänd bildsökning och identitetsverifiering. Vår tidigare rapportering om ClarityCheck-läckan som exponerade 9 miljoner ansiktsbilder beskriver hur en forskare hittade en osäkrad molndatabas kopplad till den USA-baserade tjänsten.

Detta är separata incidenter, men de delar en orsak: data som lagrats någonstans där den inte borde ha varit åtkomlig för någon med en internetanslutning.

Hur aggregerad intrångsdata hamnar online

Vibetech-fallet är en annan typ av problem än ett typiskt hack. Ingen behövde nödvändigtvis bryta sig in. Ett företag samlade in information från flera tidigare intrång, lade den på ett ställe och misslyckades sedan med att säkra den platsen.

Det spelar roll av flera skäl:

  • Gamla läckor får ett andra liv. Data som var utspridd över separata incidenter blir lättare att söka i och använda när den väl har sammanställts i en samling.
  • De drabbade kanske inte vet om det. Om dina uppgifter fanns i ett tidigare intrång kanske du aldrig får veta att en tredje part samlade in dem och senare exponerade dem igen.
  • Felkonfiguration är ett återkommande problem. Osäkrade databaser, vare sig det gäller molnlagring eller sökplattformar, dyker ständigt upp i säkerhetsforskning. Vår rapportering om de 220 miljoner reseposter som exponerades i ett vietnamesiskt APIS-läckage gällde en osäkrad Elasticsearch-databas, en liknande typ av fel i en helt annan skala.

Sammanställda datamängder kan också göra det lättare att koppla samman separata uppgifter till en person. En e-postadress i ett intrång och ett telefonnummer i ett annat är mindre användbara för en brottsling än en enda profil som innehåller båda.

Varför en läcka i ett AI-företags databas och ansiktsigenkänningsdata är en bestående risk

De flesta läckta uppgifter kan ändras. Du kan återställa ett lösenord, spärra ett kort eller byta ut ett konto. Ett ansikte kan inte bytas ut.

När ansiktsbilder exponeras, särskilt av en tjänst uppbyggd kring omvänd bildsökning och identitetsverifiering, kan bilderna vara kopplade till namn eller andra identifierande uppgifter. Säkerhetskommentarer kring ClarityCheck-fallet noterar att risken ökar när brottslingar kombinerar ansiktsbilder med andra personuppgifter. Det kan underlätta identitetsstöld, bedrägliga identitetskontroller eller riktade bedrägerier.

Det finns också en kumulativ effekt. Om en aggregator som Vibetech kan samla in data från flera intrång, kan samma sak hända med en uppsättning läckta bilder. En enskild exponering som ser begränsad ut kan bli en permanent del av den datapool som andra kan samla in och återanvända.

Inget av detta betyder att varje person i en exponerad databas blir ett offer. Det betyder att det vanliga rådet att byta lösenord efter ett intrång är ofullständigt när de exponerade uppgifterna är biometriska.

Vad detta innebär för dig: Begränsa din exponering

Du kan inte styra över hur ett företag lagrar data som det redan har, men du kan minska hur mycket av dina uppgifter som finns där ute och hur användbara de skulle vara om de exponerades.

Kontrollera din exponering. Sök efter dina e-postadresser och telefonnummer i ett pålitligt verktyg för intrångsaviseringar. Om de förekommer, behandla de associerade kontona som komprometterade och byt lösenord, med ett unikt lösenord för varje konto.

Var selektiv med biometri och ID-uppladdningar. Innan du laddar upp en selfie, ett pass eller ett körkort till en verifieringstjänst, fråga dig om det verkligen är nödvändigt. Kontrollera vad företaget säger om lagring och radering. Där det finns ett val, föredra metoder som inte lagrar ditt ansikte.

Begränsa offentliga foton. Tjänster för omvänd bildsökning och skrapning förlitar sig på bilder som är lätta att hitta. Genom att skärpa integritetsinställningarna på sociala konton och ta bort gamla offentliga foton minskar du vad som kan samlas in.

Var uppmärksam på uppföljningsbedrägerier. Läckta personuppgifter driver ofta på nätfiske, identitetsstöld och falska verifieringsförfrågningar. Behandla oväntade meddelanden som refererar till korrekta personuppgifter med extra försiktighet, och bekräfta via en officiell kanal.

Använd starkt kontoskydd. Aktivera multifaktorautentisering där det är tillgängligt, så att enbart exponerade inloggningsuppgifter är mindre användbara. Ett VPN kan skydda din anslutning från lokal avlyssning, men det skyddar inte data som ett företag redan har lagrat och lämnat exponerad.

Viktiga slutsatser

Den bredare lärdomen av denna läcka i ett AI-företags databas och exponeringen av ansiktsigenkänningsdata är att läckta data inte försvinner. De kan samlas in, kombineras och exponeras igen, och ett ansikte är den enda identifierare du inte kan återställa.

  1. Kontrollera om din e-post och ditt telefonnummer förekommer i kända intrångsdatabaser, och uppdatera alla berörda lösenord.
  2. Dela biometriska data och ID-dokument endast när det är nödvändigt, och föredra tjänster med tydliga raderingspolicyer.
  3. Minska antalet offentliga foton kopplade till ditt namn.
  4. Var uppmärksam på bedrägerier som använder verkliga personuppgifter.

För ett konkret exempel på vad som står på spel, läs vår rapport om ClarityCheck-läckan av ansiktsbilder, och ta sedan några minuter att granska vad du har delat med identitetsverifieringstjänster.