TechRadar关于GovTech泄露4200万份文件的报道还汇总了其他几个暴露的数据库。其中两个尤为突出。一家是AI开发公司Vibetech，它从早前的泄露事件中收集数据，并意外将近1400万条记录置于在线可访问状态。另一家是反向图片搜索和身份验证服务，暴露了超过900万张面部识别图像。综合来看，AI公司数据库泄露和面部识别数据暴露表明，个人数据在原始事件发生后很久仍可能持续造成伤害。
暴露的数据库包含哪些内容
目前公布的细节有限，因此有必要准确说明已知情况。
据该报道，Vibetech泄露事件涉及近1400万条记录。该公司从不同的泄露事件中收集了这些数据，随后这些数据因意外而可在网上访问。头条新闻中的GovTech事件涉及4200万份文件，其中数千份被描述为包含大量个人信息。
第三起案件涉及面部图像。一家反向图片搜索和身份验证服务暴露了超过900万张图像。我们此前关于ClarityCheck泄露暴露900万张面部图像的报道描述了研究人员如何发现一个与该美国服务相关的未受保护的云数据库。
这些是独立事件，但它们有一个共同原因：数据存储在了任何有互联网连接的人都不应能够访问的地方。
汇总的泄露数据如何最终出现在网上
Vibetech案与典型的黑客攻击是不同性质的问题。不一定有人入侵。一家公司从多起早前的泄露事件中收集信息，将其放入一个地方，然后未能保护那个地方。
这很重要，原因有几个：
- 旧泄露获得第二次生命。 分散在独立事件中的数据一旦被汇编成一个集合，就更容易被搜索和使用。
- 受影响的人可能并不知情。 如果你的详细信息在早前的泄露中，你可能永远不会得知第三方收集了这些信息并后来再次暴露了它们。
- 配置错误是反复出现的故障。 未受保护的数据库，无论是云存储还是搜索平台，不断出现在安全研究中。我们关于越南APIS泄露暴露2.2亿旅客记录的报道涉及一个未受保护的Elasticsearch数据库，这是类似类型的错误，但规模截然不同。
汇编数据集还可能使将不同信息片段关联到同一个人变得更容易。一次泄露中的电子邮件地址和另一次泄露中的电话号码对犯罪分子来说，不如包含两者的单一档案有用。
为什么AI公司数据库泄露和面部识别数据是持久风险
大多数泄露数据可以被更改。你可以重置密码、注销银行卡或更换账户。但面部无法被替换。
当面部图像被暴露时，尤其是被一个围绕反向图片搜索和身份验证构建的服务暴露时，这些图像可能与姓名或其他身份识别细节相关联。关于ClarityCheck案的安全评论指出，当犯罪分子将面部图像与其他个人信息结合时，风险会增加。这可能助长冒充、欺诈性身份验证或针对性诈骗。
还存在 compounding effect。如果像Vibetech这样的聚合器能够从多起泄露中收集数据，那么一组泄露的图像也可能发生同样的情况。一次看似有限的单一暴露可能变成他人可以收集和重复使用的数据池的永久组成部分。
这并不意味着暴露数据库中的每个人都会成为受害者。但它确实意味着，当暴露的数据是生物识别数据时，通常建议的泄露后更改密码是不完整的。
这对你意味着什么：限制你的暴露
你无法控制公司如何存储它已经持有的数据，但你可以减少你的数据有多少在外面以及如果暴露时会有多有用。
检查你的暴露情况。 在信誉良好的泄露通知工具中查找你的电子邮件地址和电话号码。如果它们出现，请将相关账户视为已泄露并更改这些密码，为每个账户使用唯一的密码。
对生物识别和身份证件上传保持选择性。 在你将自拍、护照或驾照上传到验证服务之前，询问是否真的需要。查看公司关于保留和删除的说明。如果有选择，优先选择不存储你面部的方法。
限制公开照片。 反向图片搜索和抓取服务依赖于容易找到的图像。收紧社交账户的隐私设置并删除旧的公开照片，可以减少可被收集的内容。
警惕后续诈骗。 泄露的个人详细信息常常助长网络钓鱼、冒充和虚假验证请求。对引用准确个人详细信息的意外消息要格外谨慎，并通过官方渠道确认。
使用强账户保护。 在可用的情况下开启多因素认证，这样仅凭暴露的凭据就不那么有用。VPN可以保护你的连接免受本地窥探，但它不能保护公司已经存储并暴露的数据。
关键要点
这起AI公司数据库泄露和面部识别暴露的更广泛教训是，泄露的数据不会消失。它可以被收集、组合并再次暴露，而面部是你无法重置的唯一标识符。
- 检查你的电子邮件和电话号码是否出现在已知的泄露数据库中，并更新任何受影响的密码。
- 仅在必要时共享生物识别数据和身份证件，并优先选择有明确删除政策的服务。
- 减少与你的姓名相关联的公开照片数量。
- 对使用真实个人详细信息的诈骗保持警惕。
关于利害关系的具体例子，请阅读我们关于ClarityCheck面部图像泄露的报道，然后花几分钟审查你与身份验证服务共享了哪些内容。
