Một báo cáo của TechRadar về vụ vi phạm dữ liệu GovTech làm rò rỉ 42 triệu tài liệu cũng tổng hợp một số cơ sở dữ liệu bị phơi bày khác. Hai trường hợp nổi bật. Một là công ty phát triển AI, Vibetech, đã thu thập dữ liệu từ các vụ vi phạm trước đó và vô tình để gần 14 triệu bản ghi có thể truy cập trực tuyến. Trường hợp còn lại là một dịch vụ tìm kiếm hình ảnh ngược và xác minh danh tính đã làm lộ hơn 9 triệu hình ảnh nhận diện khuôn mặt. Kết hợp lại, vụ rò rỉ cơ sở dữ liệu của công ty AI và việc phơi bày dữ liệu nhận diện khuôn mặt cho thấy dữ liệu cá nhân có thể tiếp tục gây hại rất lâu sau sự cố ban đầu.

Những gì có trong các cơ sở dữ liệu bị phơi bày

Các chi tiết được công bố cho đến nay còn hạn chế, vì vậy cần chính xác về những gì đã biết.

Theo báo cáo, vụ phơi bày của Vibetech liên quan đến gần 14 triệu bản ghi. Công ty đã thu thập dữ liệu từ nhiều vụ vi phạm khác nhau, và sau đó dữ liệu này vô tình trở nên có thể truy cập trực tuyến. Sự cố GovTech được chú ý nhất liên quan đến 42 triệu tài liệu, bao gồm hàng nghìn tài liệu được mô tả là chứa đầy thông tin cá nhân.

Trường hợp thứ ba liên quan đến hình ảnh khuôn mặt. Hơn 9 triệu hình ảnh đã bị phơi bày bởi một dịch vụ tìm kiếm hình ảnh ngược và xác minh danh tính. Bài viết trước đây của chúng tôi về vụ rò rỉ ClarityCheck làm lộ 9 triệu hình ảnh khuôn mặt mô tả cách một nhà nghiên cứu phát hiện một cơ sở dữ liệu đám mây không được bảo mật gắn với dịch vụ có trụ sở tại Hoa Kỳ.

Đây là những sự cố riêng biệt, nhưng chúng có chung một nguyên nhân: dữ liệu được lưu trữ ở nơi mà bất kỳ ai có kết nối internet đều có thể truy cập được, điều lẽ ra không nên xảy ra.

Cách dữ liệu vi phạm được tổng hợp lại xuất hiện trực tuyến

Vụ Vibetech là một loại vấn đề khác so với một vụ tấn công điển hình. Không nhất thiết ai đó đã đột nhập. Một công ty thu thập thông tin từ nhiều vụ vi phạm trước đó, đặt chúng vào một nơi, rồi sau đó không bảo mật được nơi đó.

Điều này quan trọng vì vài lý do:

  • Các vụ rò rỉ cũ có thêm một đời sống mới. Dữ liệu từng nằm rải rác trong các sự cố riêng biệt trở nên dễ tìm kiếm và sử dụng hơn khi được biên soạn thành một bộ sưu tập duy nhất.
  • Những người bị ảnh hưởng có thể không biết. Nếu thông tin của bạn nằm trong một vụ vi phạm trước đó, bạn có thể không bao giờ biết rằng một bên thứ ba đã thu thập chúng và sau đó lại làm lộ chúng lần nữa.
  • Cấu hình sai là một lỗi lặp đi lặp lại. Các cơ sở dữ liệu không được bảo mật, dù là lưu trữ đám mây hay nền tảng tìm kiếm, liên tục xuất hiện trong nghiên cứu bảo mật. Bài viết của chúng tôi về 220 triệu bản ghi du khách bị lộ trong vụ rò rỉ APIS tại Việt Nam liên quan đến một cơ sở dữ liệu Elasticsearch không được bảo mật, một loại lỗi tương tự ở quy mô rất khác.

Các bộ dữ liệu được biên soạn cũng có thể giúp liên kết các mảnh thông tin riêng lẻ với một người. Một địa chỉ email trong một vụ vi phạm và một số điện thoại trong một vụ khác ít hữu ích cho tội phạm hơn một hồ sơ duy nhất chứa cả hai.

Tại sao rò rỉ cơ sở dữ liệu của công ty AI và dữ liệu nhận diện khuôn mặt là rủi ro lâu dài

Hầu hết dữ liệu bị rò rỉ có thể thay đổi. Bạn có thể đặt lại mật khẩu, hủy thẻ hoặc thay thế tài khoản. Khuôn mặt thì không thể thay thế.

Khi hình ảnh khuôn mặt bị phơi bày, đặc biệt là bởi một dịch vụ được xây dựng xoay quanh tìm kiếm hình ảnh ngược và xác minh danh tính, các hình ảnh có thể được gắn với tên hoặc các chi tiết nhận dạng khác. Bình luận bảo mật về vụ ClarityCheck lưu ý rằng rủi ro tăng lên khi tội phạm kết hợp hình ảnh khuôn mặt với thông tin cá nhân khác. Điều đó có thể hỗ trợ mạo danh, kiểm tra danh tính gian lận hoặc lừa đảo có chủ đích.

Còn có một hiệu ứng tích lũy. Nếu một bên tổng hợp như Vibetech có thể thu thập dữ liệu từ nhiều vụ vi phạm, điều tương tự cũng có thể xảy ra với một tập hợp hình ảnh bị rò rỉ. Một vụ phơi bày đơn lẻ trông có vẻ đã được kiểm soát có thể trở thành một phần vĩnh viễn của kho dữ liệu mà người khác có thể thu thập và tái sử dụng.

Không điều nào trong số này có nghĩa là mọi người trong một cơ sở dữ liệu bị phơi bày sẽ trở thành nạn nhân. Điều đó có nghĩa là lời khuyên thông thường rằng hãy đổi mật khẩu sau một vụ vi phạm là chưa đầy đủ khi dữ liệu bị phơi bày là dữ liệu sinh trắc học.

Điều này có nghĩa gì với bạn: Hạn chế sự phơi bày của bạn

Bạn không thể kiểm soát cách một công ty lưu trữ dữ liệu mà họ đã nắm giữ, nhưng bạn có thể giảm lượng dữ liệu của mình đang tồn tại bên ngoài và mức độ hữu ích của nó nếu bị phơi bày.

Kiểm tra sự phơi bày của bạn. Tra cứu địa chỉ email và số điện thoại của bạn trong một công cụ thông báo vi phạm đáng tin cậy. Nếu chúng xuất hiện, hãy coi các tài khoản liên quan là đã bị xâm phạm và đổi mật khẩu của chúng, sử dụng một mật khẩu duy nhất cho mỗi tài khoản.

Hãy chọn lọc khi tải lên dữ liệu sinh trắc học và giấy tờ tùy thân. Trước khi bạn tải lên ảnh selfie, hộ chiếu hoặc giấy phép lái xe cho một dịch vụ xác minh, hãy hỏi liệu điều đó có thực sự cần thiết không. Kiểm tra những gì công ty nói về việc lưu giữ và xóa dữ liệu. Khi có lựa chọn, hãy ưu tiên các phương thức không lưu trữ khuôn mặt của bạn.

Hạn chế ảnh công khai. Các dịch vụ tìm kiếm hình ảnh ngược và thu thập dữ liệu dựa vào những hình ảnh dễ tìm thấy. Thắt chặt cài đặt quyền riêng tư trên các tài khoản mạng xã hội và xóa những ảnh công khai cũ sẽ giảm những gì có thể bị thu thập.

Cảnh giác với các trò lừa đảo tiếp theo. Thông tin cá nhân bị rò rỉ thường thúc đẩy lừa đảo trực tuyến, mạo danh và các yêu cầu xác minh giả mạo. Hãy đặc biệt thận trọng với những tin nhắn bất ngờ đề cập đến thông tin cá nhân chính xác, và xác nhận thông qua một kênh chính thức.

Sử dụng biện pháp bảo vệ tài khoản mạnh mẽ. Bật xác thực đa yếu tố khi có sẵn, để chỉ thông tin đăng nhập bị lộ thôi thì ít hữu ích hơn. VPN có thể bảo vệ kết nối của bạn khỏi bị nghe lén cục bộ, nhưng nó không bảo vệ dữ liệu mà một công ty đã lưu trữ và để phơi bày.

Những điểm chính cần ghi nhớ

Bài học rộng hơn từ vụ rò rỉ cơ sở dữ liệu của công ty AI và việc phơi bày dữ liệu nhận diện khuôn mặt này là dữ liệu bị vi phạm không biến mất. Nó có thể bị thu thập, kết hợp và phơi bày lần nữa, và khuôn mặt là định danh duy nhất mà bạn không thể đặt lại.

  1. Kiểm tra xem email và số điện thoại của bạn có xuất hiện trong các cơ sở dữ liệu vi phạm đã biết hay không, và cập nhật mọi mật khẩu bị ảnh hưởng.
  2. Chỉ chia sẻ dữ liệu sinh trắc học và giấy tờ tùy thân khi cần thiết, và ưu tiên các dịch vụ có chính sách xóa rõ ràng.
  3. Giảm số lượng ảnh công khai gắn với tên của bạn.
  4. Luôn cảnh giác với các trò lừa đảo sử dụng thông tin cá nhân thật.

Để có một ví dụ cụ thể về những gì đang bị đe dọa, hãy đọc báo cáo của chúng tôi về vụ rò rỉ hình ảnh khuôn mặt ClarityCheck, sau đó dành vài phút để xem lại những gì bạn đã chia sẻ với các dịch vụ xác minh danh tính.