Eine riesige Datenbank, die mit dem Reverse-Lookup-Dienst ClarityCheck verknüpft ist, blieb ohne Passwortschutz oder Verschlüsselung zurück, was möglicherweise mehr als neun Millionen Gesichtsbilder offenlegen konnte.
Der unabhängige Cybersicherheitsforscher Jeremiah Fowler entdeckte den öffentlich zugänglichen Speicher, der etwa 450 GB Daten enthielt. ClarityCheck stellt Werkzeuge bereit, um unbekannte Anrufer zu identifizieren, Kontaktinformationen zu überprüfen und online nach Informationen über Personen zu suchen.
Laut Fowlers Erkenntnissen enthielt die freigelegte Sammlung Bilder von Erwachsenen sowie von Jugendlichen und Kindern. Einige Fotos schienen von externen Quellen zu stammen, darunter soziale Medien und Dating-Websites. Fowler äußerte Bedenken, dass Personen in der Datenbank möglicherweise nicht wussten, dass ihre Fotos gesammelt oder aufbewahrt wurden. ClarityCheck hat die Behauptungen über die Exposition angefochten. Fowlers Bericht zur ClarityCheck-Datenbank
Die Entdeckung warf auch Fragen zu den von ClarityCheck erklärten Praktiken zur Bildaufbewahrung auf. Berichten zufolge wurde den Nutzern mitgeteilt, dass die hochgeladenen Fotos 14 Tage lang gespeichert bleiben würden, bevor sie automatisch gelöscht werden. Fowler sagte jedoch, er habe Dateien identifiziert, die Zeitstempel trugen, die offenbar über diesen Zeitraum hinausgingen.
Es bleibt unbekannt, wie lange die Datenbank ohne Schutz zugänglich war oder ob jemand anderes ihren Inhalt entdeckt oder heruntergeladen hat. Fowler konnte auch nicht feststellen, ob ClarityCheck die exponierte Speicherinfrastruktur direkt betrieb oder ob sie von einem externen Anbieter verwaltet wurde.
Die Art des durchgesickerten Materials stellt andere Datenschutzbedenken dar als Sicherheitsverletzungen, die konventionelle Kontoinformationen betreffen. Große Sammlungen von Gesichtsfotos könnten potenziell mit Gesichtserkennungstechnologie verarbeitet werden, um Personen zu identifizieren oder zu verfolgen. Fowler warnte, dass Fortschritte in der KI es zunehmend ermöglichen, Gesichtsbilder in großem Maßstab abzugleichen, selbst wenn Fotos keine Namen oder andere identifizierenden Informationen enthalten.
Der Forscher hob außerdem die Möglichkeit hervor, dass belichtete Fotos in Datensätze integriert werden, die zur Entwicklung oder Verbesserung von Gesichtserkennungs- und Überwachungssystemen verwendet werden. Es gibt jedoch keine bestätigten Belege in den vorgelegten Ergebnissen, dass die ClarityCheck-Bilder tatsächlich zum Training von KI-Modellen verwendet wurden.
Ein weiteres Problem ist die Imitation. Der Zugang zu zahlreichen Fotos derselben Person könnte nützliches Material bieten, um irreführende Profile oder überzeugendere, KI-generierte Inhalte zu erstellen. Bilder mit Minderjährigen bergen zusätzliche Risiken, da generative Werkzeuge missbraucht werden können, um legitime Fotos in schädliches synthetisches Material zu verwandeln.
Im Gegensatz zu Passwörtern oder Zahlungsdaten können Gesichtsmerkmale nach einer Enthüllung nicht einfach ersetzt werden. Das macht die Unsicherheit über die endgültige Nutzung und Verbreitung solcher Datensätze besonders bedeutend.
Der Vorfall lässt mehrere wichtige Fragen offen, darunter wie lange die Datenbank offen blieb, ob unbefugte Personen darauf zugriffen und wie genau die Millionen von Bildern gesammelt wurden.