Звіт TechRadar про витік у GovTech, через який оприлюднено 42 мільйони документів, також містить огляд кількох інших відкритих баз даних. Дві з них вирізняються. Одна належить компанії з розробки ШІ Vibetech, яка збирала дані з попередніх витоків і випадково залишила майже 14 мільйонів записів у відкритому доступі в інтернеті. Інша — сервісу зворотного пошуку зображень і верифікації особи, який розкрив понад 9 мільйонів зображень для розпізнавання облич. У сукупності витік бази даних ШІ-компанії та розкриття даних розпізнавання облич показують, як персональні дані можуть завдавати шкоди ще довго після первинного інциденту.
Що містили відкриті бази даних
Опублікованих наразі подробиць небагато, тож варто точно розмежовувати те, що відомо.
Згідно зі звітом, витік Vibetech стосувався майже 14 мільйонів записів. Компанія зібрала дані з різних витоків, після чого вони випадково стали доступними в інтернеті. Головний інцидент у GovTech стосувався 42 мільйонів документів, зокрема тисяч, які описано як переповнені персональною інформацією.
Третій випадок стосувався зображень облич. Понад 9 мільйонів таких зображень розкрив сервіс зворотного пошуку зображень і верифікації особи. У нашому попередньому матеріалі про витік ClarityCheck, що розкрив 9 мільйонів зображень облич, описано, як дослідник знайшов незахищену хмарну базу даних, пов'язану з цим американським сервісом.
Це окремі інциденти, але в них спільна причина: дані зберігалися там, де до них не мав би отримати доступ будь-хто з підключенням до інтернету.
Як агреговані дані з витоків опиняються в мережі
Випадок Vibetech — це проблема іншого роду, ніж типовий злам. Ніхто не обов'язково проникав у систему. Компанія зібрала інформацію з кількох попередніх витоків, помістила її в одне місце, а потім не змогла це місце захистити.
Це важливо з кількох причин:
- Старі витоки отримують друге життя. Дані, розпорошені між окремими інцидентами, стає легше шукати й використовувати, коли їх зведено в одну колекцію.
- Постраждалі можуть про це не знати. Якщо ваші дані потрапили в попередній витік, ви можете так і не дізнатися, що третя сторона їх зібрала, а згодом знову розкрила.
- Неправильне налаштування — повторювана помилка. Незахищені бази даних, чи то хмарні сховища, чи пошукові платформи, постійно з'являються в дослідженнях безпеки. Наш матеріал про 220 мільйонів записів про мандрівників, розкритих у витоку APIS у В'єтнамі, стосувався незахищеної бази даних Elasticsearch — схожої помилки зовсім іншого масштабу.
Зведені набори даних також можуть полегшити прив'язку окремих фрагментів інформації до однієї людини. Адреса електронної пошти з одного витоку та номер телефону з іншого менш корисні для зловмисника, ніж єдиний профіль, що містить і те, і інше.
Чому витік бази даних ШІ-компанії та дані розпізнавання облич — це довготривалий ризик
Більшість даних, що потрапили у витік, можна змінити. Можна скинути пароль, заблокувати картку чи замінити обліковий запис. Обличчя замінити неможливо.
Коли розкриваються зображення облич, особливо сервісом, побудованим навколо зворотного пошуку зображень і верифікації особи, ці зображення можуть бути пов'язані з іменами чи іншими ідентифікаційними даними. У коментарях експертів з безпеки щодо випадку ClarityCheck зазначено, що ризик зростає, коли зловмисники поєднують зображення облич з іншою персональною інформацією. Це може сприяти видаванню себе за іншу особу, шахрайським перевіркам особи чи цільовим шахрайським схемам.
Існує також кумулятивний ефект. Якщо агрегатор на кшталт Vibetech може збирати дані з кількох витоків, те саме може статися з набором розкритих зображень. Одиничний витік, який здається локалізованим, може стати постійною частиною масиву даних, які інші можуть збирати й повторно використовувати.
Усе це не означає, що кожна людина у відкритій базі даних стане жертвою. Проте це означає, що звичайна порада змінити пароль після витоку є неповною, коли розкриті дані біометричні.
Що це означає для вас: як обмежити свою вразливість
Ви не можете контролювати, як компанія зберігає дані, які вже має, але можете зменшити обсяг своїх даних у відкритому доступі та їхню корисність у разі розкриття.
Перевірте свою вразливість. Знайдіть свої адреси електронної пошти та номери телефонів у надійному сервісі сповіщень про витоки. Якщо вони там є, вважайте пов'язані облікові записи скомпрометованими та змініть паролі до них, використовуючи унікальний пароль для кожного облікового запису.
Будьте вибірковими щодо завантаження біометричних даних і документів. Перш ніж завантажувати селфі, паспорт чи посвідчення водія в сервіс верифікації, з'ясуйте, чи це справді необхідно. Перевірте, що компанія повідомляє про зберігання та видалення даних. Якщо є вибір, надавайте перевагу методам, які не зберігають ваше обличчя.
Обмежте кількість публічних фотографій. Сервіси зворотного пошуку зображень і збирання даних покладаються на зображення, які легко знайти. Посилення налаштувань приватності в соцмережах і видалення старих публічних фото зменшують обсяг того, що можна зібрати.
Остерігайтеся подальших шахрайських схем. Розкриті персональні дані часто підживлюють фішинг, видавання себе за інших і фальшиві запити на верифікацію. Ставтеся з особливою обережністю до неочікуваних повідомлень, у яких згадуються точні персональні дані, і перевіряйте їх через офіційний канал.
Використовуйте надійний захист облікових записів. Увімкніть багатофакторну автентифікацію, де це можливо, щоб самі лише розкриті облікові дані були менш корисними. VPN може захистити ваше з'єднання від локального стеження, але не захищає дані, які компанія вже зберегла й залишила відкритими.
Ключові висновки
Ширший урок цього витоку бази даних ШІ-компанії та розкриття даних розпізнавання облич полягає в тому, що дані з витоків не зникають. Їх можуть збирати, поєднувати й знову розкривати, а обличчя — єдиний ідентифікатор, який неможливо скинути.
- Перевірте, чи є ваша електронна пошта та номер телефону у відомих базах даних витоків, і оновіть паролі до всіх уражених облікових записів.
- Надавайте біометричні дані та документи, що посвідчують особу, лише за потреби й надавайте перевагу сервісам із чіткою політикою видалення.
- Зменште кількість публічних фотографій, пов'язаних із вашим іменем.
- Будьте пильні щодо шахрайських схем, у яких використовуються реальні персональні дані.
Щоб побачити конкретний приклад того, що поставлено на карту, прочитайте наш звіт про витік зображень облич ClarityCheck, а потім приділіть кілька хвилин перегляду того, чим ви поділилися із сервісами верифікації особи.
