Ett massivt biometriskt dataläckage kommer i ljuset
En cybersäkerhetsforskare har upptäckt en oskyddad molndatabas som innehåller över 9 miljoner ansiktsbilder kopplade till ClarityCheck, en USA-baserad tjänst för omvänd bildsökning och identitetsverifiering. Enligt rapporteringen kring upptäckten fann forskaren Jeremiah Fowler den exponerade databasen på cirka 450,2 GB, med uppskattningsvis 9 042 977 ansiktsbilder tillsammans med tillhörande profildata.
Databasen var lämnad okrypterad och utan lösenordsskydd, vilket innebar att vem som helst som råkade stöta på den online potentiellt kunde komma åt de biometriska posterna inuti. Eftersom ClarityChecks affärsmodell kretsar kring identitetsverifiering och matchning av ansikten över webben, innehöll den exponerade datan sannolikt inte bara råa foton utan även profilinformation kopplad till verkliga identiteter, vilket höjer insatserna avsevärt jämfört med ett typiskt e-post- eller lösenordsläckage.
Varför felkonfigurerade databaser fortsätter orsaka massiva läckor
Denna incident passar in i ett mönster som blivit störande vanligt i datasäkerhetsvärlden: en felkonfigurerad, oskyddad molndatabas. I takt med att företag alltmer förlitar sig på molnlagring för att förvara känslig data om anställda, partners och kunder, kommer bekvämligheten med enkel åtkomst och integration med business intelligence-verktyg ofta till priset av korrekt säkerhetskonfiguration. En databas som lämnas öppen utan autentiseringskrav är i praktiken offentlig, oavsett hur känsligt innehållet är.
Det som gör just denna exponering anmärkningsvärd är typen av data som är inblandad. Lösenord kan återställas. Kreditkortsnummer kan makuleras och utfärdas på nytt. Men en ansiktsbild är permanent. När biometrisk data som denna väl är exponerad finns det inget sätt att ändra ditt ansikte på samma sätt som du skulle ändra ett komprometterat lösenord. Denna permanens är vad som skiljer läckor av ansiktsigenkänning från mer rutinmässiga identitetsintrång, och det är därför säkerhetsforskare och integritetsförespråkare behandlar biometriska exponeringar med en förhöjd grad av oro.
Skalan här sticker också ut. Nio miljoner bilder är en betydande siffra för en tjänst byggd kring identitetsverifiering, en sektor där hela värdeerbjudandet beror på förtroendet för att den data som behandlas hanteras säkert. När ett identitetsverifieringsföretag i sig självt blir källan till ett läckage undergräver det själva grundpelaren som branschen bygger på.
Detta är inte första gången på senare tid som en stor mängd poster kopplade till välkända konsumentinriktade plattformar har hamnat exponerade eller stulna. Intrång som involverar återförsäljare och andra stora varumärken, såsom incidenterna som drabbade Zara, Carnival och 7-Eleven, har visat hur snabbt miljontals kundposter kan äventyras genom tredjepartsleverantörer eller osäkra system. I ett separat fall exponerades Zara-kunders e-postmeddelanden genom ett tredjepartsintrång, vilket understryker hur sårbar data kan vara även när den passerar genom leverantörer som ett företag litar på. ClarityCheck-exponeringen lägger till biometrisk data till den växande listan av känsliga informationskategorier som riskerar att drabbas av grundläggande säkerhetsförbiseenden.
Vad detta innebär för dig
Om du någonsin har använt ett verktyg för omvänd bildsökning, skickat in ett foto för identitetsverifiering, eller fått din bild skrapad och indexerad av en tjänst som ClarityCheck utan din vetskap, är detta läckage en påminnelse om hur liten kontroll de flesta människor har över var deras ansiktsdata hamnar. Till skillnad från ett dataintrång som involverar en tjänst du registrerat dig för direkt, har många som drabbas av läckor med ansiktsigenkänning aldrig samtyckt till att deras bild samlas in eller verifieras från första början.
Den praktiska risken inkluderar identitetsstöld, eftersom ansiktsbilder kombinerade med profildata kan användas för att bygga övertygande falska identiteter eller kringgå ansiktsverifieringssystem som används av banker och andra institutioner. Det väcker också oro kring övervakning och oauktoriserad profilering, eftersom bilder när de väl exponerats online kan kopieras, skrapas och återanvändas i oändlighet.
Praktiska åtgärder att vidta
Även om du inte kan radera ett foto av ditt eget ansikte från internet finns det steg värda att ta. Kontrollera om din bild dyker upp i sökresultat för omvänd bildsökning på ditt namn, och begär borttagning från datamäklarsajter eller personsökningssajter där det är möjligt. Aktivera flerfaktorsautentisering som inte förlitar sig enbart på ansiktsigenkänning för kritiska konton som bank. Var försiktig med vilka appar och tjänster som begär ansiktsskanningar, och läs integritetspolicyer för att förstå hur länge biometrisk data lagras. Håll slutligen ett öga på identitetsövervakningstjänster som kan varna dig om din personliga information, inklusive biometriska identifierare, dyker upp i framtida intrång.
I takt med att verktyg för ansiktsigenkänning och identitetsverifiering blir mer inbäddade i vardagens digitala liv, belyser incidenter som ClarityCheck-exponeringen varför företag som hanterar biometrisk data behöver starkare säkerhetsbaslinjer, och varför användare bör hålla sig informerade om var deras mest personliga data, deras eget ansikte, hamnar lagrad.
