Datenleck bei KI-Dienst für Foto- und Videobearbeitung: Bildmaterial und E-Mails von Usern landen im Netz

Wie jetzt bekannt wurde, waren über 9 GB an Nutzerdaten des beliebten KI-Foto- und Videobearbeitungstools Cutout.pro frei im Internet zugänglich.

Die von Cybernews aufgedeckte Sicherheitsverletzung umfasste mehr als 22 Millionen Protokolleinträge (einige davon doppelt), die Bildmaterial von Benutzern, Benutzernamen sowie E-Mail-Adressen von Privat- und Geschäftskonten offenlegten.

Die Analyse des ungesicherten Servers der KI-Bildplattform mit Sitz in Hong Kong offenbarte zudem Informationen über Nutzerguthaben und Links zu Amazon S3-Buckets, in denen die von den Nutzern generierten Bilder gespeichert wurden.

Nach Angaben der Sicherheitsforscher von Cybernews ist das Datenleck, durch das nutzergenerierte Inhalte an die Öffentlichkeit gelangen konnten, auf eine offene Elasticsearch-Instanz zurückzuführen.

„Nach Angaben des Teams hat Cutout.pro neben Benutzernamen der Kunden auch die mit dem Tool des Unternehmens erstellten Bilder offengelegt. Darüber hinaus enthielt die Instanz Informationen über die Anzahl der User Credits, einer von dem Dienst genutzten virtuellen Währung, und Links zu Amazon S3-Buckets, in denen die generierten Bilder gespeichert wurden.“

Die Cybersicherheitsexperten von Cybernews machten zudem deutlich, welche Risiken für die Privatsphäre mit der Offenlegung dieser Nutzerdaten einhergehen. So könnten Bedrohungsakteure zum Beispiel auf sensibles Bildmaterial zugreifen, das allein für den privaten Gebrauch gedacht war, und potenzielle Opfer damit erpressen.

Bei der Untersuchung der betroffenen Elasticsearch-Instanzen stießen die Forscher zudem auf Fehlkonfigurationen, die es jedem erlaubt hätten, Datensätze anzulegen, zu lesen, zu aktualisieren und zu löschen.

Sie kamen zu dem Schluss, dass die offene Instanz nicht nur einen vorübergehenden Denial-of-Service, sondern ohne entsprechende Backups durch die Cutout.pro-Entwickler auch einen unwiederbringlichen Verlust der auf der offenen Instanz gespeicherten Daten hätte nach sich ziehen können. Nach Angaben der Sicherheitsforscher hätten Angreifer alles einfach löschen können.

Nutzern wird empfohlen, vorbeugende Sicherheitsmaßnahmen zu ergreifen und ihre Benutzernamen auf der Plattform zu ändern.

Mit Bitdefender Digital Identity Protection können Sie ganz einfach herausfinden, welche zentralen Elemente Ihrer digitalen Identität im Laufe des Jahre durch Datenpannen oder Datenlecks offengelegt wurden. Darüber hinaus können Sie Gegenmaßnahmen ergreifen, um wieder die volle Kontrolle über Ihre Identität zu erlangen und sie besser zu schützen.

Der Dienst benachrichtigt Sie in Echtzeit, wenn Ihre Daten in legalen oder illegalen Online-Datensammlungen auftauchen. Expertenempfehlungen helfen Ihnen zudem, datenschutzrelevante Schwachstellen aufzuspüren und zu beheben, die Ihre finanzielle Sicherheit gefährden.