Das ClarityCheck-Datenleck mit Gesichtsdaten soll eine Datenbank mit mehr als neun Millionen Gesichtsbildern offengelegt haben. Die Sammlung soll auch Fotos von Kindern und Jugendlichen enthalten haben, was ernsthafte Bedenken hinsichtlich Datenschutz und Überwachung aufwirft.
Der Sicherheitsforscher Jeremiah Fowler erklärte, dass die Datenbank rund 450 GB an Daten enthielt. Seinem Bericht zufolge fand er sie ohne Passwortschutz oder Verschlüsselung im Internet.
ClarityCheck bestreitet, dass die Informationen öffentlich zugänglich waren.
Datenbank soll Bilder aus Online-Quellen enthalten haben
ClarityCheck bietet Reverse-Lookup-Tools an, die Nutzern dabei helfen sollen, Anrufer zu identifizieren, Kontakte zu überprüfen und online nach Personen zu recherchieren. Fowler zufolge enthielt die offengelegte Datenbank Gesichtsbilder, die aus Quellen wie sozialen Medien und Dating-Websites gesammelt wurden.
Viele der abgebildeten Personen wussten möglicherweise nicht, dass der Dienst ihre Bilder gespeichert hatte. Eine Person konnte möglicherweise in die Datenbank gelangen, nachdem ein anderer Nutzer ein Foto hochgeladen hatte, um nach ihr zu suchen.
Die gemeldete Sammlung enthielt mehr als nur Gesichtsfotos. Sie könnte auch zugehörige Profildaten enthalten haben, obwohl der vollständige Umfang der gespeicherten Informationen weiterhin unklar ist.
Fragen zur Speicherung von Bildern
ClarityCheck teilte Nutzern mit, dass hochgeladene Bilder nach 14 Tagen automatisch gelöscht würden. Fowler erklärte jedoch, dass er Dateien mit Zeitstempeln gefunden habe, die offenbar über diesen Zeitraum hinausgingen.
Diese Entdeckung wirft Fragen zu Einwilligung, Datenspeicherung und Aufsicht auf. Außerdem ist weiterhin unbekannt, wie lange die Datenbank online zugänglich war.
Fowler erklärte, er könne nicht bestätigen, ob ClarityCheck den offengelegten Speicher direkt verwaltete oder einen externen Anbieter nutzte.
Warum offengelegte Gesichtsbilder langfristige Risiken darstellen
Ein geleaktes Passwort kann geändert werden. Gesichtsdaten nicht.
Große Bildsammlungen könnten Kriminelle anziehen, die nach Material für Identitätsbetrug, Deepfakes oder andere Betrugsformen suchen. Sie könnten auch für Organisationen interessant sein, die Technologien zur Gesichtserkennung, Nachverfolgung oder Überwachung entwickeln.
Die Risiken sind besonders schwerwiegend, wenn Datenbanken Fotos von Kindern enthalten. Kriminelle könnten diese Bilder missbrauchen, um schädliche manipulierte Inhalte zu erstellen.
KI-Systeme können bereits Gesichter in großem Umfang abgleichen, selbst wenn die Bilder keine Namen oder Profildaten enthalten. Daher kann ein offengelegter Datensatz mit Gesichtsbildern Risiken verursachen, die noch lange nach dem ursprünglichen Vorfall bestehen bleiben.
So können Sie prüfen, ob ClarityCheck Ihr Bild gespeichert hat
Es ist schwierig festzustellen, ob Ihr Bild in der gemeldeten ClarityCheck-Datenbank enthalten war. Herkömmliche Dienste zur Überprüfung von Datenlecks können nach E-Mail-Adressen, Telefonnummern und Passwörtern suchen, Gesichtsbilder jedoch nicht zuverlässig durchsuchen.
Eine Suche nach sich selbst über einen Dienst zur umgekehrten Bildersuche liefert möglicherweise keine eindeutige Antwort. Außerdem könnte dafür das Hochladen eines neuen Fotos Ihres Gesichts erforderlich sein.
Personen im Vereinigten Königreich oder in der EU können stattdessen erwägen, nach den geltenden Datenschutzgesetzen einen Antrag auf Auskunft über ihre personenbezogenen Daten zu stellen. Sie können ClarityCheck fragen, ob das Unternehmen ein Bild von ihnen besitzt oder früher besessen hat, und Informationen über die Quelle dieses Bildes anfordern.
Sinnvolle Fragen sind unter anderem, ob das Unternehmen ein Bild in seinen Gesichts- oder Profildatenbanken gespeichert hat, ob ein Bild im offengelegten Datensatz enthalten war und welches Konto es hochgeladen hat.
ClarityCheck bestreitet Behauptung über öffentliche Zugänglichkeit
ClarityCheck widersprach der Darstellung des Vorfalls als öffentliche Offenlegung. Das Unternehmen argumentierte, dass für den Zugriff auf die Datenbank eine nicht indexierte Webadresse erforderlich gewesen sei und sie nicht in Suchergebnissen erschienen sei.
Fowler erklärte jedoch, dass für den Zugriff auf den Speicher weder eine Anmeldung noch eine andere Authentifizierung erforderlich gewesen sei. Er sagte außerdem, dass er die Adresse durch die Überprüfung des Codes des Dienstes gefunden habe.
Das ClarityCheck-Datenleck mit Gesichtsdaten verdeutlicht die Grenzen der Annahme, schwer auffindbare Weblinks seien eine Sicherheitsmaßnahme. Wenn sensible biometrische Daten ohne Authentifizierung zugänglich bleiben, können sie weiterhin erhebliche Datenschutzrisiken verursachen.
0 Kommentare zu „ClarityCheck-Datenleck legt 9 Millionen Gesichtsbilder offen“