รายงานของ TechRadar เกี่ยวกับเหตุการณ์ละเมิดข้อมูลของ GovTech ที่ทำให้เอกสาร 42 ล้านฉบับรั่วไหล ยังได้รวบรวมฐานข้อมูลอื่นๆ ที่ถูกเปิดเผยอีกหลายแห่ง โดยมีสองกรณีที่โดดเด่น กรณีหนึ่งคือบริษัทพัฒนา AI ชื่อ Vibetech ที่เก็บรวบรวมข้อมูลจากการละเมิดข้อมูลครั้งก่อนๆ และเผลอทำให้ระเบียนเกือบ 14 ล้านรายการสามารถเข้าถึงได้ทางออนไลน์ อีกกรณีหนึ่งคือบริการค้นหาภาพย้อนกลับและยืนยันตัวตนที่เปิดเผยภาพจดจำใบหน้ากว่า 9 ล้านภาพ เมื่อนำมารวมกัน การรั่วไหลของฐานข้อมูลบริษัท AI และการเปิดเผยข้อมูลจดจำใบหน้านี้แสดงให้เห็นว่าข้อมูลส่วนบุคคลสามารถก่อให้เกิดอันตรายได้อย่างต่อเนื่องยาวนานหลังจากเหตุการณ์ первоначаเกิดขึ้น
ฐานข้อมูลที่ถูกเปิดเผยมีอะไรบ้าง
รายละเอียดที่เผยแพร่จนถึงขณะนี้ยังมีจำกัด จึงควรระบุให้ชัดเจนถึงสิ่งที่ทราบแล้ว
ตามรายงาน การเปิดเผยข้อมูลของ Vibetech เกี่ยวข้องกับระเบียนเกือบ 14 ล้านรายการ บริษัทได้รวบรวมข้อมูลจากการละเมิดข้อมูลต่างๆ และต่อมาข้อมูลนั้นก็สามารถเข้าถึงได้ทางออนไลน์โดยอุบัติเหตุ เหตุการณ์หลักของ GovTech เกี่ยวข้องกับเอกสาร 42 ล้านฉบับ รวมถึงเอกสารหลายพันฉบับที่อธิบายว่าเต็มไปด้วยข้อมูลส่วนบุคคล
กรณีที่สามเกี่ยวข้องกับภาพใบหน้า มีมากกว่า 9 ล้านภาพที่ถูกเปิดเผยโดยบริการค้นหาภาพย้อนกลับและยืนยันตัวตน บทความก่อนหน้าของเราเกี่ยวกับการรั่วไหลของ ClarityCheck ที่เปิดเผยภาพใบหน้า 9 ล้านภาพ อธิบายว่านักวิจัยพบฐานข้อมูลคลาวด์ที่ไม่มีการป้องกันซึ่งเชื่อมโยงกับบริการที่ตั้งอยู่ในสหรัฐฯ ได้อย่างไร
เหล่านี้เป็นเหตุการณ์ที่แยกจากกัน แต่มีสาเหตุร่วมกัน: ข้อมูลถูกจัดเก็บไว้ในสถานที่ที่ไม่ควรให้ใครก็ตามที่มีการเชื่อมต่ออินเทอร์เน็ตสามารถเข้าถึงได้
ข้อมูลการละเมิดที่ถูกรวบรวมมาลงเอยออนไลน์ได้อย่างไร
กรณี Vibetech เป็นปัญหาที่แตกต่างจากการแฮ็กทั่วไป ไม่จำเป็นต้องมีใครบุกรุก บริษัทได้รวบรวมข้อมูลจากการละเมิดข้อมูลครั้งก่อนๆ หลายครั้ง นำมาไว้ในที่เดียว แล้วล้มเหลวในการรักษาความปลอดภัยของสถานที่นั้น
สิ่งนี้สำคัญด้วยเหตุผลหลายประการ:
- การรั่วไหลเก่าได้รับชีวิตที่สอง ข้อมูลที่กระจัดกระจายอยู่ในเหตุการณ์แยกจากกันจะค้นหาและใช้งานได้ง่ายขึ้นเมื่อถูกรวบรวมไว้ในคอลเลกชันเดียว
- ผู้ที่ได้รับผลกระทบอาจไม่รู้ตัว หากข้อมูลของคุณอยู่ในการละเมิดข้อมูลครั้งก่อน คุณอาจไม่มีวันรู้ว่าบุคคลที่สามได้รวบรวมข้อมูลเหล่านั้นและต่อมาเปิดเผยอีกครั้ง
- การกำหนดค่าผิดพลาดเป็นความล้มเหลวที่เกิดซ้ำ ฐานข้อมูลที่ไม่มีการป้องกัน ไม่ว่าจะเป็นที่เก็บข้อมูลบนคลาวด์หรือแพลตฟอร์มค้นหา ยังคงปรากฏอยู่ในงานวิจัยด้านความปลอดภัยอยู่เรื่อยๆ บทความของเราเกี่ยวกับระเบียนนักเดินทาง 220 ล้านรายการที่ถูกเปิดเผยในเหตุการณ์รั่วไหลของ APIS เวียดนาม เกี่ยวข้องกับฐานข้อมูล Elasticsearch ที่ไม่มีการป้องกัน ซึ่งเป็นข้อผิดพลาดประเภทเดียวกันในระดับที่แตกต่างกันมาก
ชุดข้อมูลที่ถูกรวบรวมยังสามารถทำให้เชื่อมโยงข้อมูลแต่ละชิ้นเข้ากับบุคคลใดบุคคลหนึ่งได้ง่ายขึ้น ที่อยู่อีเมลในการละเมิดครั้งหนึ่งและหมายเลขโทรศัพท์ในอีกครั้งหนึ่งมีประโยชน์ต่ออาชญากรน้อยกว่าโปรไฟล์เดียวที่มีทั้งสองอย่าง
ทำไมการรั่วไหลของฐานข้อมูลบริษัท AI และข้อมูลจดจำใบหน้าจึงเป็นความเสี่ยงที่ยั่งยืน
ข้อมูลที่รั่วไหลส่วนใหญ่สามารถเปลี่ยนแปลงได้ คุณสามารถรีเซ็ตรหัสผ่าน ยกเลิกบัตร หรือเปลี่ยนบัญชี แต่ใบหน้าไม่สามารถเปลี่ยนได้
เมื่อภาพใบหน้าถูกเปิดเผย โดยเฉพาะจากบริการที่สร้างขึ้น autour ของการค้นหาภาพย้อนกลับและการยืนยันตัวตน ภาพเหล่านั้นอาจเชื่อมโยงกับชื่อหรือรายละเอียดระบุตัวตนอื่นๆ ความคิดเห็นด้านความปลอดภัยเกี่ยวกับกรณี ClarityCheck ระบุว่าความเสี่ยงเพิ่มขึ้นเมื่ออาชญากรรวมภาพใบหน้ากับข้อมูลส่วนบุคคลอื่นๆ ซึ่งอาจสนับสนุนการแอบอ้างบุคคล การตรวจสอบตัวตนโดยฉ้อโกง หรือการหลอกลวงแบบเจาะจง
ยังมีผลทบ compounded หากผู้รวบรวมข้อมูลอย่าง Vibetech สามารถเก็บข้อมูลจากการละเมิดหลายครั้งได้ สิ่งเดียวกันก็อาจเกิดขึ้นกับชุดภาพที่รั่วไหลได้ การเปิดเผยครั้งเดียวที่ดูเหมือนถูกจำกัดสามารถกลายเป็นส่วนถาวรของแหล่งข้อมูลที่ผู้อื่นสามารถรวบรวมและนำไปใช้ซ้ำได้
ไม่มีสิ่งใดหมายความว่าทุกคนในฐานข้อมูลที่ถูกเปิดเผยจะตกเป็นเหยื่อ แต่หมายความว่าคำแนะนำปกติให้เปลี่ยนรหัสผ่านหลังการละเมิดข้อมูลนั้นไม่สมบูรณ์เมื่อข้อมูลที่ถูกเปิดเผยเป็นข้อมูลชีวมาตร
สิ่งนี้หมายความสำหรับคุณ: การจำกัดการเปิดเผยข้อมูลของคุณ
คุณไม่สามารถควบคุมวิธีที่บริษัทจัดเก็บข้อมูลที่บริษัทมีอยู่แล้วได้ แต่คุณสามารถลดปริมาณข้อมูลของคุณที่อยู่ข้างนอกและลดประโยชน์ของข้อมูลนั้นหากถูกเปิดเผย
ตรวจสอบการเปิดเผยข้อมูลของคุณ ค้นหาที่อยู่อีเมลและหมายเลขโทรศัพท์ของคุณในเครื่องมือแจ้งเตือนการละเมิดข้อมูลที่น่าเชื่อถือ หากพบว่าปรากฏอยู่ ให้ถือว่าบัญชีที่เกี่ยวข้องถูกบุกรุกและเปลี่ยนรหัสผ่านเหล่านั้น โดยใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบัญชี
เลือกใช้ข้อมูลชีวมาตรและการอัปโหลดเอกสารระบุตัวตนอย่างระมัดระวัง ก่อนที่คุณจะอัปโหลดเซลฟี่ หนังสือเดินทาง หรือใบขับขี่ไปยังบริการยืนยันตัวตน ให้ถามว่าจำเป็นจริงหรือไม่ ตรวจสอบสิ่งที่บริษัทระบุเกี่ยวกับการเก็บรักษาและการลบข้อมูล เมื่อมีทางเลือก ควรเลือกวิธีที่ไม่จัดเก็บใบหน้าของคุณ
จำกัดภาพถ่ายสาธารณะ บริการค้นหาภาพย้อนกลับและบริการดึงข้อมูลพึ่งพาภาพที่หาได้ง่าย การเพิ่มการตั้งค่าความเป็นส่วนตัวบนบัญชีโซเชียลและการลบภาพสาธารณะเก่าๆ จะลดสิ่งที่สามารถรวบรวมได้
ระวังการหลอกลวงที่ตามมา ข้อมูลส่วนบุคคลที่รั่วไหลมักเป็นเชื้อเพลิงให้กับการฟิชชิง การแอบอ้างบุคคล และคำขอยืนยันตัวตนปลอม ให้ระมัดระวังเป็นพิเศษกับข้อความที่ไม่คาดคิดซึ่งอ้างถึงข้อมูลส่วนบุคคลที่ถูกต้อง และยืนยันผ่านช่องทางที่เป็นทางการ
ใช้การป้องกันบัญชีที่แข็งแกร่ง เปิดใช้การยืนยันตัวตนหลายปัจจัยเมื่อมีให้ใช้ เพื่อให้ข้อมูลรับรองที่ถูกเปิดเผยเพียงอย่างเดียวมีประโยชน์น้อยลง VPN สามารถปกป้องการเชื่อมต่อของคุณจากการสอดแนมในท้องถิ่น แต่ไม่ได้ปกป้องข้อมูลที่บริษัทได้จัดเก็บไว้แล้วและปล่อยให้ถูกเปิดเผย
ประเด็นสำคัญ
บทเรียนที่กว้างขึ้นจากการรั่วไหลของฐานข้อมูลบริษัท AI และการเปิดเผยข้อมูลจดจำใบหน้านี้คือ ข้อมูลที่ถูกละเมิดไม่หายไป มันสามารถถูกรวบรวม รวมเข้าด้วยกัน และเปิดเผยอีกครั้ง และใบหน้าคือตัวระบุตัวตนเดียวที่คุณไม่สามารถรีเซ็ตได้
- ตรวจสอบว่าอีเมลและหมายเลขโทรศัพท์ของคุณปรากฏในฐานข้อมูลการละเมิดข้อมูลที่รู้จักหรือไม่ และอัปเดตรหัสผ่านที่ได้รับผลกระทบ
- แบ่งปันข้อมูลชีวมาตรและเอกสารระบุตัวตนเฉพาะเมื่อจำเป็น และเลือกใช้บริการที่มีนโยบายการลบข้อมูลที่ชัดเจน
- ลดจำนวนภาพถ่ายสาธารณะที่เชื่อมโยงกับชื่อของคุณ
- เฝ้าระวังการหลอกลวงที่ใช้ข้อมูลส่วนบุคคลจริง
สำหรับตัวอย่างที่เป็นรูปธรรมของสิ่งที่เสี่ยงอยู่ โปรดอ่านรายงานของเราเกี่ยวกับการรั่วไหลของภาพใบหน้า ClarityCheck แล้วใช้เวลาสักครู่เพื่อตรวจสอบสิ่งที่คุณได้แบ่งปันกับบริการยืนยันตัวตน
