Биометрические данные в мобильных приложениях: реальные кейсы утечек лица и отпечатков

В них фигурируют открытые корпоративные базы, сервисы, собиравшие фотографии из интернета, и приложения, которые применяли распознавание лиц без ясного согласия пользователей.

Это не значит, что биометрические данные в мобильных приложениях утечки невозможны. Значит, что прежде чем пугаться кражи шаблона из смартфона, стоит выяснить, где именно данные создаются и хранятся, что получает приложение при системной проверке и какие сведения сервис собирает отдельно от неё.

Самый заметный риск часто возникает не в момент разблокировки телефона. Он появляется, когда фотография уходит в сервис, а правила её обработки остаются за кадром.

Архитектура биометрической защиты: почему приложения не видят ваши отпечатки

У системной биометрии и распознавания лиц внутри приложения могут быть разные роли. В первом случае приложение просит операционную систему подтвердить личность пользователя. Оно получает результат проверки, например разрешение продолжить вход или отказ. Это не означает, что приложению передают фотографию лица или образец отпечатка.

На устройствах Apple данные Face ID и Touch ID обрабатываются в защищённой аппаратной подсистеме Secure Enclave. В документации компании описано, что приложения при использовании системной аутентификации получают результат, а не доступ к биометрическому шаблону. Это утверждение относится к платформе Apple и к предусмотренному системой механизму. Оно не позволяет автоматически делать выводы обо всех устройствах, приложениях и способах распознавания лиц.

На Android схема зависит от устройства, версии системы и реализации производителя. На современных моделях биометрические операции обычно изолируются от обычных приложений с помощью защищённой аппаратной среды, например TEE. Приложение, использующее системный API аутентификации, получает ответ от системы, а не само изображение отпечатка. При этом уровень защиты и конкретная архитектура могут различаться. Поэтому универсальная формула, будто любой Android-телефон хранит шаблон одинаково и он физически недоступен при любых обстоятельствах, была бы слишком смелой.

Есть и другой сценарий: приложение само включает камеру или обрабатывает загруженные фотографии, чтобы распознавать лица. Это уже не системная проверка Face ID или отпечатком. Здесь правила доступа к камере, обработки снимков и передачи данных зависят от разрешений, устройства и политики самого сервиса. Системный API биометрической аутентификации сам по себе не даёт приложению доступа к камере.

Именно здесь обычно возникает путаница: слово «биометрия» объединяет и шаблон для входа в телефон, и фотографию в облачном альбоме, и вектор, построенный сервисом распознавания лиц. Это разные типы данных и разные пути их возможной утечки. Надёжность защищённой подсистемы смартфона не отвечает на вопрос, что произошло с фотографией после загрузки в приложение.

Анатомия инцидента BioStar 2: уроки открытых баз данных контроля доступа

В августе 2019 года исследователи обнаружили незащищённый сервер, связанный с платформой BioStar 2. В опубликованных сообщениях об инциденте речь шла примерно о 28 миллионах записей и данных более чем миллиона человек. Среди доступных сведений были отпечатки пальцев, изображения лиц и фотографии пользователей.

BioStar 2 предназначена для контроля доступа. Это не обычное приложение для смартфона и не хранилище фотографий для массовой аудитории. Такие системы используют в организациях, где нужно управлять проходом через двери и турникеты. Биометрические сведения сотрудников могут быть связаны с централизованной системой, а значит, безопасность зависит не только от сканера на входе, но и от того, как устроены сервер, настройки доступа и работа администраторов.

Этот случай не доказывает, что приложения могут извлекать отпечатки из смартфонов. Он показывает другой риск: биометрические данные могут оказаться в централизованном хранилище, если система собирает их для своей работы, а сервер настроен небрежно. Для человека последствия такой ошибки серьёзнее, чем утечка пароля. Пароль можно заменить. Лицо и отпечаток нельзя просто перевыпустить.

При этом нельзя переносить этот вывод на все системы контроля доступа. Инцидент BioStar 2 говорит о конкретной уязвимой базе и её настройках, а не о том, что любая корпоративная биометрическая система устроена одинаково. Для пользователя важнее сам принцип: чем больше организаций собирают биометрические данные, тем больше мест, где они должны быть защищены.

BioStar 2 была историей о корпоративной базе, а не об извлечении шаблона из телефона. Разница не делает инцидент менее серьёзным, но помогает понять, где именно возник риск.

Дело Clearview AI: граница между сбором публичных лиц и утечкой баз

В феврале 2020 года стало известно о доступе постороннего к части сведений Clearview AI: клиентскому списку, числу аккаунтов и количеству поисковых запросов. В опубликованном сообщении компании говорилось, что изображения лиц и биометрические шаблоны в этом инциденте доступны не были. Поэтому называть тот случай утечкой самих шаблонов было бы неверно.

Но Clearview AI стала предметом внимания не только из-за этого эпизода. В начале 2021 года канадские федеральные и провинциальные органы по защите приватности опубликовали совместное расследование о сборе компанией изображений лиц из публичных источников и создании биометрических векторов. Для попадания фотографии в такую базу человеку не требовалось устанавливать приложение сервиса. Достаточно было, чтобы изображение оказалось доступно в интернете.

Здесь важно разделять два события. Утечка — это доступ посторонних к данным, которые уже хранились у компании. Сбор изображений и построение по ним базы распознавания — отдельная практика, которая может вызывать вопросы о согласии и контроле, даже если данные не были похищены. Публичность фотографии не означает автоматически, что человек понимает, как именно её будут анализировать и с чем связывать.

Для владельца смартфона это меняет и сам вопрос о риске. Иногда тревожиться нужно не о том, передал ли телефон шаблон Face ID, а о том, где публикуются фотографии, загруженные в сервисы снимки и насколько понятно описаны дальнейшие способы их использования. Ограничение доступа к профилю может сократить видимость фотографий, но не гарантирует, что изображение, уже опубликованное или сохранённое другими пользователями, исчезнет из сети.

Практика сервиса Everalbum: скрытое распознавание лиц без согласия пользователей

Everalbum был сервисом для хранения фотографий, связанным с приложением Ever. В мае 2021 года Федеральная торговая комиссия США сообщила о финализации соглашения с компанией. В жалобе FTC описывалось, что пользователей вводили в заблуждение относительно применения распознавания лиц и порядка, в котором они могли сделать выбор по поводу этой обработки.

Это не история о взломе базы или о краже отпечатков с телефона. Здесь проблема в том, как сервис использовал фотографии пользователей. Человек загружает снимок ради хранения или организации альбома, а приложение может применять к нему дополнительные алгоритмы. Если такое использование описано неясно, не соответствует обещаниям сервиса или происходит без ожидаемого выбора, вопрос безопасности становится вопросом контроля над данными.

Случай Everalbum полезен тем, что показывает разницу между двумя понятиями. Системная биометрическая аутентификация подтверждает вход в приложение. Распознавание лиц в приложении может анализировать сами фотографии, чтобы группировать изображения или сопоставлять лица. Разрешение пользоваться Face ID не означает согласия на обработку фотографий сервисом, а согласие на загрузку снимков не всегда означает, что пользователь ясно понял, какие дополнительные операции с ними будут выполняться.

Условия соглашения с FTC относились к компании и американскому регулированию. Их не стоит превращать в универсальное правило для всех стран и всех приложений. Но для пользователя вывод практический: ищите в настройках сервиса и политике конфиденциальности информацию о распознавании лиц, автоматической группировке фотографий, сроках хранения и удалении данных. Если формулировки расплывчаты, а приложение не объясняет, как отключить функцию, это повод внимательнее оценить, стоит ли загружать туда личные снимки.

В приложении могут сосуществовать системный вход по лицу и отдельная обработка фотографий. У этих функций разные разрешения и разные последствия для приватности.

Реальные риски для пользователей смартфона: что на самом деле угрожает лицу и отпечаткам

Для владельца телефона полезно разделить риски по тому, где они возникают. Системная биометрическая проверка, фотографии в облаке и корпоративная база контроля доступа не образуют одну общую систему. Защита одного звена не закрывает остальные.

Шаблон на устройстве. На устройствах Apple системные механизмы биометрической аутентификации устроены так, что приложениям передаётся результат проверки, а не шаблон. На Android защита зависит от реализации производителя и устройства, хотя современные платформы используют изоляцию для биометрических операций. Поэтому разумно поддерживать систему в актуальном состоянии и пользоваться штатной блокировкой экрана. Но абсолютное обещание, что данные на любом устройстве при любых условиях недоступны, было бы некорректным.

Фотографии, загруженные в сервисы. Это самостоятельный канал. Фото может храниться в облаке, обрабатываться для поиска по альбомам или использоваться для функций распознавания. Уточнить, что именно происходит, можно в настройках конкретного сервиса и его политике конфиденциальности. Одного факта, что приложение запрашивает доступ к галерее, недостаточно, чтобы понять все дальнейшие операции.

Сбор из публичных источников. История Clearview AI показывает, что фотографии могут собирать и анализировать без приложения на телефоне. Закрытый профиль и осторожность при публикации уменьшают доступность снимков, но не дают полной гарантии: фотографии могут копировать, перепубликовывать или сохранять другие люди.

Подтверждение операций под давлением. Если приложение использует системную биометрическую проверку, само по себе это не открывает злоумышленнику камеру. Но пользователь может быть обманут и сам подтвердить вход или операцию в приложении, которое считает настоящим. Поэтому важно понимать, что именно подтверждается на экране, и не выполнять финансовые действия по просьбе незнакомца или под диктовку звонящего. При сомнениях лучше прервать операцию и связаться с банком через официальный канал.

Метаданные и история действий. Сервис может фиксировать время входа, устройство, способ аутентификации и другие события. Такие сведения не равны изображению лица и сами по себе не позволяют восстановить отпечаток. Но в сочетании с данными аккаунта они могут раскрывать привычки пользователя и помогать отслеживать подозрительные действия. Стоит относиться к журналам активности как к части цифрового профиля, а не как к безобидной технической мелочи.

Набор практических действий здесь довольно приземлённый. На iPhone раздел с настройками Face ID находится прямо в настройках устройства: «Настройки» → «Face ID и код-пароль». На Android название и расположение раздела зависят от производителя и версии системы; обычно искать его нужно в настройках безопасности или биометрии. Эти разделы помогают управлять системной разблокировкой и доступом приложений к аутентификации, но не показывают все способы, которыми фотосервис может обрабатывать загруженные снимки.

Полезно также проверить, каким приложениям разрешён доступ к фотографиям и камере, и оставить только необходимый объём доступа. Если сервис умеет ограничивать доступ выбранными снимками, это может быть предпочтительнее полного доступа к галерее. Отдельно проверьте, можно ли отключить автоматическое распознавание лиц или группировку фотографий и как удалить загруженный контент.

Биометрия удобна для входа, но не заменяет внимательность при подтверждении операций. Не сообщайте коды и пароли собеседнику, который представляется сотрудником банка, и не подтверждайте запросы, смысл которых непонятен. Для важных учётных записей используйте доступные дополнительные способы защиты. Они не делают биометрическую проверку бесполезной, но помогают не сводить всю безопасность аккаунта к одному удобному жесту.

Если интересуют и другие бытовые аспекты приватности, от настройки умного дома до защиты документов, можно посмотреть материал о практических советах по защите личных данных. Он пригодится как отдельное дополнение, но не заменит проверку настроек и правил конкретного приложения.

Биометрические данные в мобильных приложениях утекают не по одному универсальному сценарию. Иногда проблема в сервере, где хранится корпоративная база. Иногда в том, что фотографии собирают и анализируют без понятного согласия. А иногда пользователь сам подтверждает действие, не разобравшись, что именно происходит на экране. Разделять эти ситуации полезнее, чем верить обещаниям абсолютной защиты или страшилкам о том, что любое приложение способно забрать Face ID из телефона.