GovTech ihlaliyle ilgili 42 milyon belgenin sızdığı bir TechRadar raporu, diğer birkaç açıkta kalan veritabanını da özetliyor. İki tanesi öne çıkıyor. Bunlardan biri, daha önceki ihlallerden veri toplayan ve yaklaşık 14 milyon kaydı yanlışlıkla çevrimiçi erişilebilir bırakan bir yapay zeka geliştirme şirketi olan Vibetech. Diğeri ise 9 milyondan fazla yüz tanıma görüntüsünü açıkta bırakan bir ters görsel arama ve kimlik doğrulama hizmeti. Bir arada ele alındığında, yapay zeka şirketi veritabanı sızıntısı ve yüz tanıma verilerinin açığa çıkması, kişisel verilerin orijinal olaydan çok sonra bile nasıl zarar vermeye devam edebileceğini gösteriyor. ## Açıkta kalan veritabanlarında neler vardı Şu ana kadar yayınlanan ayrıntılar sınırlı, bu yüzden bilinenler konusunda kesin olmakta fayda var. Rapora göre, Vibetech sızıntısı yaklaşık 14 milyon kaydı içeriyordu. Şirket verileri farklı ihlallerden toplamış ve ardından veriler kazara çevrimiçi erişilebilir hale gelmişti. Manşetlerdeki GovTech olayı, binlercesi kişisel bilgilerle dolu olarak tanımlananlar da dahil olmak üzere 42 milyon belgeyi içeriyordu. Üçüncü vaka yüz görüntülerini içeriyordu. Bir ters görsel arama ve kimlik doğrulama hizmeti tarafından 9 milyondan fazla görüntü açığa çıkarıldı. [9 milyon yüz görüntüsünü açığa çıkaran ClarityCheck sızıntısı](/en/claritycheck-leak-exposes-9-million-facial-images) hakkındaki önceki haberimiz, bir araştırmacının ABD merkezli hizmetle bağlantılı güvenliği sağlanmamış bir bulut veritabanını nasıl bulduğunu anlatıyor. Bunlar ayrı olaylar, ancak ortak bir nedeni paylaşıyorlar: veriler, internete bağlı herhangi biri tarafından erişilememesi gereken bir yerde depolanmıştı. ## Toplanan ihlal verileri nasıl çevrimiçine düşüyor Vibetech vakası tipik bir hacklemeden farklı türde bir sorun. Kimse illa ki içeri girmedi. Bir şirket daha önceki birkaç ihlalden bilgi topladı, tek bir yere koydu ve sonra o yeri güvence altına alamadı. Bu birkaç nedenden dolayı önemli: - **Eski sızıntılar ikinci bir hayat buluyor.** Ayrı olaylara dağılmış veriler, tek bir koleksiyonda derlendiğinde aranması ve kullanılması daha kolay hale geliyor. - **Etkilenen kişiler bilmeyebilir.** Bilgileriniz daha önceki bir ihlalde yer aldıysa, bir üçüncü tarafın bunları topladığını ve sonra tekrar açığa çıkardığını asla öğrenemeyebilirsiniz. - **Yanlış yapılandırma tekrar eden bir hatadır.** İster bulut depolama ister arama platformları olsun, güvenliği sağlanmamış veritabanları güvenlik araştırmalarında görünmeye devam ediyor. [Vietnam APIS sızıntısında açığa çıkan 220 milyon yolcu kaydı](/en/220m-traveler-records-exposed-in-vietnam-apis-leak) haberimiz, güvenliği sağlanmamış bir Elasticsearch veritabanını içeriyordu; çok farklı bir ölçekte benzer türde bir hata. Derlenmiş veri kümeleri, ayrı bilgi parçalarını tek bir kişiye bağlamayı da kolaylaştırabilir. Bir ihlaldeki e-posta adresi ve başka bir ihlaldeki telefon numarası, bir suçlu için her ikisini de içeren tek bir profilden daha az kullanışlıdır. ## Bir yapay zeka şirketi veritabanı sızıntısı ve yüz tanıma verileri neden kalıcı bir risk Sızdırılan verilerin çoğu değiştirilebilir. Bir parolayı sıfırlayabilir, bir kartı iptal edebilir veya bir hesabı değiştirebilirsiniz. Bir yüz değiştirilemez. Yüz görüntüleri açığa çıktığında, özellikle ters görsel arama ve kimlik doğrulama etrafında kurulmuş bir hizmet tarafından, görüntüler isimlere veya diğer tanımlayıcı bilgilere bağlı olabilir. ClarityCheck vakasına ilişkin güvenlik yorumları, suçluların yüz görüntülerini diğer kişisel bilgilerle birleştirdiğinde riskin arttığını belirtiyor. Bu, kimlik taklidi, sahte kimlik kontrolleri veya hedefli dolandırıcılıkları destekleyebilir. Bir de birikimli etki var. Vibetech gibi bir toplayıcı birden fazla ihlalden veri toplayabiliyorsa, aynı şey sızdırılmış bir görüntü kümesi için de olabilir. Sınırlı görünen tek bir açığa çıkma, başkalarının toplayıp yeniden kullanabileceği veri havuzunun kalıcı bir parçası haline gelebilir. Bunların hiçbiri, açıkta kalan bir veritabanındaki her kişinin mağdur olacağı anlamına gelmez. Ancak açığa çıkan veri biyometrik olduğunda, bir ihlalden sonra parolanızı değiştirmeniz yönündeki olağan tavsiyenin eksik olduğu anlamına gelir. ## Bu Sizin İçin Ne Anlama Geliyor: Maruziyetinizi Sınırlamak Bir şirketin halihazırda elinde tuttuğu verileri nasıl depoladığını kontrol edemezsiniz, ancak sizin verilerinizden ne kadarının ortalıkta olduğunu ve açığa çıkması durumunda ne kadar kullanışlı olacağını azaltabilirsiniz. **Maruziyetinizi kontrol edin.** E-posta adreslerinizi ve telefon numaralarınızı güvenilir bir ihlal bildirim aracında arayın. Görünüyorlarsa, ilişkili hesapları ihlal edilmiş olarak değerlendirin ve her hesap için benzersiz bir parola kullanarak bu parolaları değiştirin. **Biyometrik ve kimlik yüklemelerinde seçici olun.** Bir doğrulama hizmetine selfie, pasaport veya sürücü belgesi yüklemeden önce, bunun gerçekten gerekli olup olmadığını sorun. Şirketin saklama ve silme konusunda ne söylediğini kontrol edin. Seçenek olduğunda, yüzünüzü saklamayan yöntemleri tercih edin. **Herkese açık fotoğrafları sınırlayın.** Ters görsel arama ve kazıma hizmetleri, bulunması kolay görüntülere dayanır. Sosyal hesaplardaki gizlilik ayarlarını sıkılaştırmak ve eski herkese açık fotoğrafları kaldırmak, toplanabilecekleri azaltır. **Takip eden dolandırıcılıklara dikkat edin.** Sızdırılan kişisel bilgiler genellikle kimlik avı, kimlik taklidi ve sahte doğrulama taleplerini körükler. Doğru kişisel bilgilere atıfta bulunan beklenmedik mesajlara ekstra dikkatle yaklaşın ve resmi bir kanal aracılığıyla doğrulayın. **Güçlü hesap koruması kullanın.** Mevcut olduğunda çok faktörlü kimlik doğrulamayı açın, böylece tek başına açığa çıkan kimlik bilgileri daha az kullanışlı olur. Bir VPN bağlantınızı yerel gözetlemeden koruyabilir, ancak bir şirketin halihazırda depoladığı ve açıkta bıraktığı verileri korumaz. ## Önemli çıkarımlar Bu yapay zeka şirketi veritabanı sızıntısı ve yüz tanıma verilerinin açığa çıkmasının daha geniş dersi, ihlal edilen verilerin kaybolmadığıdır. Toplanabilir, birleştirilebilir ve tekrar açığa çıkarılabilir ve yüz, sıfırlayamayacağınız tek tanımlayıcıdır. 1. E-posta ve telefon numaranızın bilinen ihlal veritabanlarında görünüp görünmediğini kontrol edin ve etkilenen parolaları güncelleyin. 2. Biyometrik verileri ve kimlik belgelerini yalnızca gerektiğinde paylaşın ve net silme politikaları olan hizmetleri tercih edin. 3. Adınıza bağlı herkese açık fotoğrafların sayısını azaltın. 4. Gerçek kişisel bilgileri kullanan dolandırıcılıklara karşı tetikte olun. Neyin tehlikede olduğuna dair somut bir örnek için [ClarityCheck yüz görüntüsü sızıntısı](/en/claritycheck-leak-exposes-9-million-facial-images) hakkındaki raporumuzu okuyun, ardından kimlik doğrulama hizmetleriyle paylaştıklarınızı gözden geçirmek için birkaç dakika ayırın.