ClarityCheck-lækket af ansigtsdata skal have eksponeret en database med mere end ni millioner ansigtsbilleder. Samlingen skal have omfattet fotografier af børn og teenagere, hvilket vækker alvorlige bekymringer om privatliv og overvågning.
Sikkerhedsforskeren Jeremiah Fowler oplyste, at databasen indeholdt omkring 450 GB data. Ifølge hans rapport fandt han den online uden adgangskodebeskyttelse eller kryptering.
ClarityCheck bestrider, at oplysningerne var offentligt eksponeret.
Databasen skal have indeholdt billeder fra onlinekilder
ClarityCheck tilbyder værktøjer til omvendt søgning, der er udviklet til at hjælpe brugere med at identificere personer, der ringer, kontrollere kontakter og undersøge personer online. Fowler oplyste, at den eksponerede database indeholdt ansigtsbilleder indsamlet fra kilder såsom sociale medier og datingsider.
Mange af personerne på billederne vidste muligvis ikke, at tjenesten havde deres billeder. En person kunne potentielt ende i databasen, efter at en anden bruger havde uploadet et foto for at søge efter vedkommende.
Den rapporterede samling indeholdt mere end blot ansigtsbilleder. Den kan også have indeholdt tilknyttede profildata, selv om det fulde omfang af oplysningerne fortsat er uklart.
Spørgsmål om opbevaring af billeder
ClarityCheck oplyste til brugerne, at uploadede billeder automatisk ville blive slettet efter 14 dage. Fowler sagde dog, at han fandt filer med tidsstempler, der så ud til at overskride denne periode.
Fundet rejser spørgsmål om samtykke, dataopbevaring og tilsyn. Det er også fortsat uvist, hvor længe databasen var tilgængelig online.
Fowler sagde, at han ikke kunne bekræfte, om ClarityCheck administrerede den eksponerede lagring direkte eller benyttede en ekstern udbyder.
Derfor udgør eksponerede ansigtsbilleder langvarige risici
En lækket adgangskode kan ændres. Det kan ansigtsdata ikke.
Store billedsamlinger kan tiltrække kriminelle, der søger materiale til svindel med falske identiteter, deepfakes eller identitetssvindel. De kan også interessere organisationer, der udvikler teknologi til ansigtsgenkendelse, sporing eller overvågning.
Risiciene er særligt alvorlige, når databaser indeholder fotografier af børn. Kriminelle kan misbruge disse billeder til at skabe skadeligt manipuleret indhold.
AI-systemer kan allerede matche ansigter i stor skala, selv når billederne ikke indeholder navne eller profiloplysninger. Derfor kan et eksponeret datasæt med ansigtsbilleder skabe risici, der fortsætter længe efter den oprindelige hændelse.
Sådan tjekker du, om ClarityCheck har dit billede
Det er svært at bekræfte, om dit billede fandtes i den rapporterede ClarityCheck-database. Traditionelle tjenester til kontrol af databrud kan søge efter e-mailadresser, telefonnumre og adgangskoder, men de kan ikke pålideligt søge efter ansigtsbilleder.
At søge efter dig selv via en tjeneste til omvendt billedsøgning giver muligvis ikke et klart svar. Det kan også kræve, at du uploader et nyt billede af dit ansigt.
Personer i Storbritannien eller EU kan i stedet overveje at indsende en anmodning om indsigt i personoplysninger i henhold til databeskyttelseslovgivningen. De kan spørge ClarityCheck, om virksomheden har eller tidligere har haft et billede af dem, og anmode om oplysninger om billedets kilde.
Nyttige spørgsmål omfatter, om virksomheden opbevarede et billede i sine ansigts- eller profildatabaser, om et billede fandtes i det eksponerede datasæt, og hvilken konto der uploadede det.
ClarityCheck bestrider påstanden om eksponering
ClarityCheck anfægtede rapportens beskrivelse af hændelsen som en offentlig eksponering. Virksomheden argumenterede for, at databasen krævede en ikke-indekseret webadresse i stedet for at dukke op i søgeresultater.
Fowler sagde dog, at lagringen ikke krævede login eller anden godkendelse. Han oplyste også, at han fandt adressen ved at gennemgå tjenestens kode.
ClarityCheck-lækket af ansigtsdata fremhæver begrænsningerne ved at betragte svært tilgængelige weblinks som en sikkerhedsforanstaltning. Hvis følsomme biometriske data fortsat er tilgængelige uden godkendelse, kan de stadig skabe betydelige risici for privatlivet.
0 svar til “ClarityCheck-datalæk eksponerer 9 millioner ansigtsbilleder”