การเปิดเผยข้อมูลไบโอเมตริกซ์ครั้งใหญ่ถูกเปิดโปง

นักวิจัยด้านความปลอดภัยไซเบอร์ค้นพบฐานข้อมูลคลาวด์ที่ไม่มีการป้องกันซึ่งมีภาพใบหน้ากว่า 9 ล้านภาพที่เชื่อมโยงกับ ClarityCheck บริการค้นหารูปภาพแบบย้อนกลับและตรวจสอบยืนยันตัวตนในสหรัฐอเมริกา ตามรายงานข่าวเกี่ยวกับการค้นพบนี้ เจเรไมอาห์ ฟาวเลอร์ นักวิจัยพบฐานข้อมูลที่เปิดเผยดังกล่าวมีขนาดประมาณ 450.2 กิกะไบต์ ประกอบด้วยภาพใบหน้าประมาณ 9,042,977 ภาพ พร้อมกับข้อมูลโปรไฟล์ที่เกี่ยวข้อง

ฐานข้อมูลดังกล่าวถูกปล่อยไว้โดยไม่มีการเข้ารหัสและไม่มีระบบป้องกันด้วยรหัสผ่าน หมายความว่าใครก็ตามที่บังเอิญพบฐานข้อมูลนี้ออนไลน์อาจเข้าถึงบันทึกข้อมูลไบโอเมตริกซ์ภายในได้ เนื่องจากโมเดลธุรกิจของ ClarityCheck เน้นไปที่การตรวจสอบยืนยันตัวตนและการจับคู่ใบหน้าบนเว็บ ข้อมูลที่รั่วไหลจึงอาจรวมถึงไม่เพียงแค่ภาพถ่ายดิบ แต่ยังรวมถึงข้อมูลโปรไฟล์ที่เชื่อมโยงกับตัวตนจริง ซึ่งเพิ่มความรุนแรงของเหตุการณ์อย่างมากเมื่อเทียบกับการรั่วไหลของอีเมลหรือรหัสผ่านทั่วไป

เหตุใดฐานข้อมูลที่ตั้งค่าผิดพลาดจึงก่อให้เกิดการรั่วไหลครั้งใหญ่ซ้ำแล้วซ้ำเล่า

เหตุการณ์ครั้งนี้สอดคล้องกับรูปแบบที่กลายเป็นเรื่องปกติอย่างน่ากังวลในโลกความปลอดภัยของข้อมูล นั่นคือฐานข้อมูลคลาวด์ที่ตั้งค่าผิดพลาดและไม่มีการป้องกัน ขณะที่ธุรกิจต่างพึ่งพาที่เก็บข้อมูลคลาวด์เพื่อเก็บข้อมูลที่ละเอียดอ่อนเกี่ยวกับพนักงาน คู่ค้า และลูกค้ามากขึ้น ความสะดวกในการเข้าถึงและการเชื่อมต่อกับเครื่องมือวิเคราะห์ธุรกิจมักแลกมาด้วยการกำหนดค่าความปลอดภัยที่เหมาะสม ฐานข้อมูลที่เปิดทิ้งไว้โดยไม่มีการตรวจสอบสิทธิ์ถือเป็นข้อมูลสาธารณะอย่างแท้จริง ไม่ว่าภายในจะมีข้อมูลที่ละเอียดอ่อนเพียงใดก็ตาม

สิ่งที่ทำให้การเปิดเผยครั้งนี้โดดเด่นคือธรรมชาติของข้อมูลที่เกี่ยวข้อง รหัสผ่านสามารถรีเซ็ตได้ เลขบัตรเครดิตสามารถยกเลิกและออกใหม่ได้ แต่ภาพใบหน้าเป็นสิ่งถาวร เมื่อข้อมูลไบโอเมตริกซ์เช่นนี้ถูกเปิดเผยแล้ว ไม่มีทางที่จะเปลี่ยนใบหน้าของคุณเหมือนกับการเปลี่ยนรหัสผ่านที่ถูกบุกรุก ความถาวรนี้เองที่ทำให้การรั่วไหลของข้อมูลการจดจำใบหน้าแตกต่างจากการรั่วไหลของข้อมูลรับรองทั่วไป และเป็นเหตุผลที่นักวิจัยด้านความปลอดภัยและนักเคลื่อนไหวด้านความเป็นส่วนตัวให้ความสำคัญกับการเปิดเผยข้อมูลไบโอเมตริกซ์ในระดับที่สูงขึ้น

ขนาดของเหตุการณ์ครั้งนี้ก็โดดเด่นเช่นกัน ภาพเก้าล้านภาพเป็นจำนวนที่มากสำหรับบริการที่สร้างขึ้นเพื่อการตรวจสอบยืนยันตัวตน ซึ่งเป็นภาคส่วนที่ข้อเสนอคุณค่าทั้งหมดขึ้นอยู่กับความไว้วางใจว่าข้อมูลที่ประมวลผลจะได้รับการจัดการอย่างปลอดภัย เมื่อบริษัทตรวจสอบยืนยันตัวตนกลายเป็นต้นตอของการรั่วไหลเอง ก็เป็นการบ่อนทำลายพื้นฐานที่อุตสาหกรรมนี้สร้างขึ้น

นี่ไม่ใช่ครั้งแรกในความทรงจำที่ผ่านมาที่ข้อมูลจำนวนมหาศาลที่เชื่อมโยงกับแพลตฟอร์มที่ผู้บริโภครู้จักกันดีถูกเปิดเผยหรือถูกขโมย การละเมิดที่เกี่ยวข้องกับผู้ค้าปลีกและแบรนด์ใหญ่ ๆ เช่น เหตุการณ์ที่ส่งผลกระทบต่อ Zara, Carnival และ 7-Eleven แสดงให้เห็นว่าบันทึกข้อมูลลูกค้าหลายล้านรายการถูกบุกรุกได้เร็วเพียงใดผ่านผู้ให้บริการบุคคลที่สามหรือระบบที่ไม่มีการป้องกัน ในอีกกรณีหนึ่ง อีเมลลูกค้าของ Zara ถูกเปิดเผยผ่านการละเมิดจากบุคคลที่สาม ซึ่งตอกย้ำว่าข้อมูลมีความเสี่ยงเพียงใดแม้จะผ่านผู้ให้บริการที่บริษัทไว้วางใจ การเปิดเผยข้อมูลของ ClarityCheck เพิ่มข้อมูลไบโอเมตริกซ์เข้าไปในรายการหมวดหมู่ข้อมูลที่ละเอียดอ่อนที่กำลังเติบโตซึ่งมีความเสี่ยงจากความบกพร่องด้านความปลอดภัยพื้นฐาน

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเคยใช้เครื่องมือค้นหารูปภาพแบบย้อนกลับ ส่งรูปภาพเพื่อตรวจสอบยืนยันตัวตน หรือมีรูปภาพของคุณถูกดึงข้อมูลและจัดทำดัชนีโดยบริการอย่าง ClarityCheck โดยที่คุณไม่รู้ตัว การรั่วไหลครั้งนี้เป็นเครื่องเตือนใจว่าคนส่วนใหญ่ควบคุมได้น้อยเพียงใดว่าข้อมูลใบหน้าของพวกเขาจะไปอยู่ที่ใด ต่างจากการละเมิดข้อมูลที่เกี่ยวข้องกับบริการที่คุณสมัครใช้โดยตรง หลายคนที่ได้รับผลกระทบจากการรั่วไหลของข้อมูลการจดจำใบหน้าไม่เคยยินยอมให้มีการเก็บหรือตรวจสอบรูปภาพของตนตั้งแต่แรก

ความเสี่ยงเชิงปฏิบัติรวมถึงการขโมยข้อมูลส่วนตัว เนื่องจากภาพใบหน้าที่รวมกับข้อมูลโปรไฟล์สามารถใช้สร้างตัวตนปลอมที่น่าเชื่อถือหรือเลี่ยงระบบตรวจสอบใบหน้าที่ใช้โดยธนาคารและสถาบันอื่น ๆ นอกจากนี้ยังทำให้เกิดความกังวลเกี่ยวกับการเฝ้าระวังและการจัดทำโปรไฟล์โดยไม่ได้รับอนุญาต เนื่องจากเมื่อภาพถูกเปิดเผยออนไลน์แล้ว ภาพเหล่านั้นสามารถถูกคัดลอก ดึงข้อมูล และนำไปใช้ประโยชน์ใหม่ได้อย่างไม่มีกำหนด

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

แม้คุณจะไม่สามารถลบรูปภาพใบหน้าของตัวเองออกจากอินเทอร์เน็ตได้ แต่ก็มีขั้นตอนที่ควรดำเนินการ ตรวจสอบว่ารูปภาพของคุณปรากฏในผลการค้นหารูปภาพแบบย้อนกลับสำหรับชื่อของคุณหรือไม่ และขอให้ลบออกจากเว็บไซต์นายหน้าข้อมูลหรือเว็บไซต์ค้นหาบุคคลหากเป็นไปได้ เปิดใช้งานการยืนยันตัวตนหลายปัจจัยที่ไม่พึ่งพาการจดจำใบหน้าเพียงอย่างเดียวสำหรับบัญชีที่สำคัญ เช่น บัญชีธนาคาร ใช้ความระมัดระวังกับแอปและบริการที่ขอสแกนใบหน้า และอ่านนโยบายความเป็นส่วนตัวเพื่อทำความเข้าใจว่าข้อมูลไบโอเมตริกซ์ถูกเก็บไว้นานเพียงใด สุดท้าย จับตาดูบริการเฝ้าระวังข้อมูลส่วนตัวที่สามารถแจ้งเตือนคุณได้หากข้อมูลส่วนบุคคลของคุณ รวมถึงตัวระบุไบโอเมตริกซ์ ปรากฏในการละเมิดในอนาคต

ในขณะที่เครื่องมือจดจำใบหน้าและการตรวจสอบยืนยันตัวตนฝังตัวอยู่ในชีวิตดิจิทัลประจำวันมากขึ้น เหตุการณ์เช่นการเปิดเผยข้อมูลของ ClarityCheck ชี้ให้เห็นว่าทำไมบริษัทที่จัดการข้อมูลไบโอเมตริกซ์จึงต้องมีมาตรฐานความปลอดภัยที่แข็งแกร่งขึ้น และทำไมผู้ใช้ควรรับทราบข้อมูลอยู่เสมอว่าข้อมูลที่เป็นส่วนตัวที่สุดของพวกเขา นั่นคือใบหน้าของพวกเขาเอง ถูกเก็บไว้ที่ใด