ClarityCheck-lekkasjen av ansiktsdata skal ha eksponert en database som inneholdt mer enn ni millioner ansiktsbilder. Samlingen skal ha inkludert fotografier av barn og tenåringer, noe som vekker alvorlige bekymringer rundt personvern og overvåking.
Sikkerhetsforskeren Jeremiah Fowler opplyste at databasen inneholdt rundt 450 GB med data. Ifølge rapporten hans fant han den på nettet uten passordbeskyttelse eller kryptering.
ClarityCheck bestrider at informasjonen var offentlig eksponert.
Databasen skal ha inneholdt bilder fra kilder på nettet
ClarityCheck tilbyr verktøy for omvendt søk som er utviklet for å hjelpe brukere med å identifisere innringere, sjekke kontakter og undersøke personer på nettet. Fowler opplyste at den eksponerte databasen inneholdt ansiktsbilder samlet inn fra kilder som sosiale medier og datingsider.
Mange av personene på bildene visste kanskje ikke at tjenesten hadde bildene deres. En person kunne potensielt havne i databasen etter at en annen bruker lastet opp et bilde for å søke etter vedkommende.
Den rapporterte samlingen inneholdt mer enn bare ansiktsbilder. Den kan også ha inneholdt tilknyttede profildata, selv om det fulle omfanget av opplysningene fortsatt er uklart.
Spørsmål rundt lagring av bilder
ClarityCheck opplyste til brukerne at opplastede bilder automatisk ville bli slettet etter 14 dager. Fowler sa imidlertid at han fant filer med tidsstempler som så ut til å være eldre enn denne perioden.
Funnet reiser spørsmål om samtykke, datalagring og tilsyn. Det er også fortsatt ukjent hvor lenge databasen var tilgjengelig på nettet.
Fowler sa at han ikke kunne bekrefte om ClarityCheck administrerte den eksponerte lagringen direkte eller brukte en ekstern leverandør.
Derfor utgjør eksponerte ansiktsbilder langvarige risikoer
Et lekket passord kan endres. Ansiktsdata kan ikke det.
Store bildesamlinger kan tiltrekke seg kriminelle som søker materiale til svindel gjennom identitetsmisbruk, deepfakes eller identitetssvindel. De kan også være interessante for organisasjoner som utvikler teknologi for ansiktsgjenkjenning, sporing eller overvåking.
Risikoen er særlig alvorlig når databaser inneholder fotografier av barn. Kriminelle kan misbruke disse bildene til å lage skadelig manipulert innhold.
AI-systemer kan allerede matche ansikter i stor skala, selv når bildene mangler navn eller profilopplysninger. Derfor kan et eksponert datasett med ansiktsbilder skape risikoer som varer lenge etter den opprinnelige hendelsen.
Slik sjekker du om ClarityCheck har bildet ditt
Det er vanskelig å bekrefte om bildet ditt var en del av den rapporterte ClarityCheck-databasen. Tradisjonelle tjenester for å sjekke datainnbrudd kan søke etter e-postadresser, telefonnumre og passord, men de kan ikke pålitelig søke etter ansiktsbilder.
Å søke etter deg selv gjennom en tjeneste for omvendt bildesøk gir kanskje ikke et klart svar. Det kan også kreve at du laster opp et nytt bilde av ansiktet ditt.
Personer i Storbritannia eller EU kan i stedet vurdere å sende inn en forespørsel om innsyn i personopplysninger i henhold til personvernlovgivningen. De kan spørre ClarityCheck om selskapet har, eller tidligere har hatt, et bilde av dem og be om informasjon om hvor bildet kom fra.
Nyttige spørsmål inkluderer om selskapet lagret et bilde i sine ansikts- eller profildatabaser, om et bilde var en del av det eksponerte datasettet, og hvilken konto som lastet det opp.
ClarityCheck bestrider påstanden om eksponering
ClarityCheck utfordret rapportens beskrivelse av hendelsen som en offentlig eksponering. Selskapet hevdet at databasen krevde en uindeksert nettadresse, i stedet for å dukke opp i søkeresultater.
Fowler sa imidlertid at lagringen ikke krevde innlogging eller annen autentisering. Han opplyste også at han fant adressen ved å gjennomgå tjenestens kode.
ClarityCheck-lekkasjen av ansiktsdata fremhever begrensningene ved å behandle obskure nettlenker som et sikkerhetstiltak. Hvis sensitive biometriske data forblir tilgjengelige uten autentisering, kan de fortsatt skape betydelige personvernrisikoer.
0 responses to “ClarityCheck-datalekk eksponerer 9 millioner ansiktsbilder”