Devasa Bir Biyometrik Veri Sızıntısı Gün Işığına Çıkıyor

Bir siber güvenlik araştırmacısı, ABD merkezli tersine görsel arama ve kimlik doğrulama hizmeti ClarityCheck ile bağlantılı, 9 milyondan fazla yüz görseli içeren korumasız bir bulut veritabanı ortaya çıkardı. Keşfe ilişkin haberlere göre, araştırmacı Jeremiah Fowler, açıkta kalan veritabanının yaklaşık 450,2 GB boyutunda olduğunu ve tahminen 9.042.977 yüz görseli ile ilişkili profil verilerini barındırdığını buldu.

Veritabanı şifrelenmemiş ve parola koruması olmadan bırakılmıştı; bu da internette ona rastlayan herkesin içindeki biyometrik kayıtlara potansiyel olarak erişebileceği anlamına geliyordu. ClarityCheck'in iş modeli kimlik doğrulama ve web genelinde yüz eşleştirmeye dayandığından, açığa çıkan veriler muhtemelen yalnızca ham fotoğrafları değil, aynı zamanda gerçek kimliklerle bağlantılı profil bilgilerini de içeriyordu; bu da riski sıradan bir e-posta veya parola sızıntısına kıyasla önemli ölçüde artırıyordu.

Yanlış Yapılandırılmış Veritabanları Büyük Sızıntılara Neden Olmaya Devam Ediyor

Bu olay, veri güvenliği dünyasında rahatsız edici derecede yaygın hale gelen bir örüntüye uyuyor: yanlış yapılandırılmış, korumasız bir bulut veritabanı. İşletmeler, çalışanlar, ortaklar ve müşteriler hakkındaki hassas verileri barındırmak için bulut depolamaya giderek daha fazla güvendikçe, kolay erişim ve iş zekası araçlarıyla entegrasyon kolaylığı genellikle doğru güvenlik yapılandırması pahasına geliyor. Kimlik doğrulama gereksinimi olmadan açık bırakılan bir veritabanı, içeriği ne kadar hassas olursa olsun fiilen halka açıktır.

Bu belirli ifşayı dikkat çekici kılan şey, ilgili verilerin doğasıdır. Parolalar sıfırlanabilir. Kredi kartı numaraları iptal edilip yeniden düzenlenebilir. Ancak bir yüz görseli kalıcıdır. Bu tür biyometrik veriler bir kez açığa çıktığında, ele geçirilmiş bir parolayı değiştirir gibi yüzünüzü değiştirmenin bir yolu yoktur. Bu kalıcılık, yüz tanıma sızıntılarını daha sıradan kimlik bilgisi ihlallerinden ayıran şeydir ve güvenlik araştırmacılarının ve gizlilik savunucularının biyometrik ifşalara yüksek düzeyde endişeyle yaklaşmasının nedenidir.

Buradaki ölçek de öne çıkıyor. Dokuz milyon görsel, tüm değer önerisinin işlenen verilerin güvenli bir şekilde ele alındığına duyulan güvene bağlı olduğu kimlik doğrulama etrafında inşa edilmiş bir hizmet için önemli bir sayıdır. Bir kimlik doğrulama şirketinin kendisi bir sızıntının kaynağı haline geldiğinde, sektörün üzerine inşa edildiği temel öncülü zayıflatır.

Bu, son zamanlarda iyi bilinen tüketici odaklı platformlarla bağlantılı büyük bir kayıt yığınının açığa çıktığı veya çalındığı ilk olay değil. Zara, Carnival ve 7-Eleven'ı etkileyen olaylar gibi perakendecileri ve diğer büyük markaları etkileyen ihlaller, üçüncü taraf satıcılar veya korumasız sistemler aracılığıyla milyonlarca müşteri kaydının ne kadar hızlı tehlikeye girebileceğini gösterdi. Ayrı bir vakada, Zara müşteri e-postaları üçüncü taraf ihlali yoluyla açığa çıktı; bu da verilerin, bir şirketin güvendiği satıcılardan geçerken bile ne kadar savunmasız olabileceğini vurguladı. ClarityCheck sızıntısı, temel güvenlik gözden kaçırmaları nedeniyle risk altındaki hassas bilgi kategorileri listesine biyometrik verileri ekliyor.

Bu Sizin İçin Ne Anlama Geliyor?

Daha önce bir tersine görsel arama aracı kullandıysanız, kimlik doğrulama için bir fotoğraf gönderdiyseniz veya görseliniz sizin bilginiz dışında ClarityCheck gibi bir hizmet tarafından tarandıysa ve dizine eklendiyse, bu sızıntı çoğu insanın yüz verilerinin nereye gittiği konusunda ne kadar az kontrole sahip olduğunu hatırlatıyor. Doğrudan kaydolduğunuz bir hizmeti içeren bir veri ihlalinden farklı olarak, yüz tanıma sızıntılarından etkilenen birçok kişi, görüntülerinin ilk etapta toplanmasına veya doğrulanmasına asla rıza göstermedi.

Pratik risk, kimlik hırsızlığını içerir; çünkü profil verileriyle birleştirilen yüz görselleri, ikna edici sahte kimlikler oluşturmak veya bankalar ve diğer kurumlar tarafından kullanılan yüz doğrulama sistemlerini atlamak için kullanılabilir. Ayrıca, görseller çevrimiçi olarak açığa çıktıktan sonra süresiz olarak kopyalanabileceği, taranabileceği ve yeniden amaçlandırılabileceği için gözetim ve yetkisiz profilleme konusunda endişeleri de artırıyor.

Uygulanabilir Çıkarımlar

Kendi yüzünüzün bir fotoğrafını internetten silemeseniz de atabileceğiniz adımlar var. Görselinizin, adınız için tersine görsel arama sonuçlarında görünüp görünmediğini kontrol edin ve mümkünse veri komisyoncusu veya kişi arama sitelerinden kaldırılmasını talep edin. Bankacılık gibi kritik hesaplar için yalnızca yüz tanımaya dayanmayan çok faktörlü kimlik doğrulamayı etkinleştirin. Hangi uygulamaların ve hizmetlerin yüz taraması talep ettiği konusunda dikkatli olun ve biyometrik verilerin ne kadar süre saklandığını anlamak için gizlilik politikalarını okuyun. Son olarak, kişisel bilgileriniz (biyometrik tanımlayıcılar dahil) gelecekteki ihlallerde ortaya çıkarsa sizi uyarabilecek kimlik izleme hizmetlerini takip edin.

Yüz tanıma ve kimlik doğrulama araçları günlük dijital yaşama daha fazla yerleştikçe, ClarityCheck ifşası gibi olaylar, biyometrik verileri işleyen şirketlerin neden daha güçlü güvenlik temellerine ihtiyaç duyduğunu ve kullanıcıların en kişisel verilerinin (kendi yüzleri) nerede saklandığı konusunda bilgi sahibi olması gerektiğini vurguluyor.