Una enorme base de datos vinculada al servicio de búsqueda inversa ClarityCheck quedó sin protección por contraseña ni cifrado, lo que podría exponer más de nueve millones de imágenes faciales.
El investigador independiente en ciberseguridad Jeremiah Fowler descubrió el almacenamiento de acceso público, que contenía aproximadamente 450GB de datos. ClarityCheck ofrece herramientas diseñadas para identificar a personas desconocidas, verificar información de contacto y buscar información sobre personas en línea.
Según los hallazgos de Fowler, la colección expuesta incluía imágenes de adultos, así como de adolescentes y niños. Algunas fotografías parecían proceder de fuentes externas, incluyendo redes sociales y sitios web de citas. Fowler expresó preocupación de que las personas que aparecen en la base de datos podrían no haber sabido que sus fotografías habían sido recopiladas o conservadas. ClarityCheck ha disputado las afirmaciones hechas sobre la exposición. Informe de Fowler en la base de datos ClarityCheck
El descubrimiento también suscitó dudas sobre las prácticas declaradas de ClarityCheck de retención de imágenes. Según se informa, se informó a los usuarios de que las fotografías que subieran permanecerían almacenadas durante 14 días antes de ser eliminadas automáticamente. Sin embargo, Fowler dijo que identificó archivos con marcas de tiempo que parecían extenderse más allá de ese periodo.
Se desconoce cuánto tiempo estuvo la base de datos accesible sin protección ni si alguien más descubrió o descargó su contenido. Fowler tampoco pudo establecer si ClarityCheck operaba directamente la infraestructura de almacenamiento expuesta o si estaba gestionada por un proveedor externo.
La naturaleza del material filtrado genera diferentes preocupaciones de privacidad respecto a las violaciones que involucran información convencional de cuentas. Grandes colecciones de fotografías faciales podrían procesarse potencialmente utilizando tecnología de reconocimiento facial para identificar o rastrear a las personas. Fowler advirtió que los avances en IA hacen cada vez más posible comparar imágenes faciales a gran escala, incluso cuando las fotografías no van acompañadas de nombres u otra información identificativa.
El investigador también destacó la posibilidad de que las fotografías expuestas se incorporen a conjuntos de datos utilizados para desarrollar o mejorar sistemas de reconocimiento facial y vigilancia. Sin embargo, no hay evidencia confirmada en los hallazgos proporcionados de que las imágenes de ClarityCheck se hayan utilizado realmente para entrenar modelos de IA.
Otra preocupación es la suplantación. El acceso a numerosas fotografías de la misma persona podría proporcionar material útil para crear perfiles engañosos o contenido generado por IA más convincente. Las imágenes que involucran a menores conllevan riesgos adicionales porque las herramientas generativas pueden ser mal utilizadas para manipular fotografías legítimas y convertirlas en material sintético dañino.
A diferencia de las contraseñas o credenciales de pago, las características faciales no pueden simplemente reemplazarse tras una exposición. Esto hace que la incertidumbre sobre el uso y la circulación eventual de estos conjuntos de datos sea especialmente significativa.
El incidente deja varias cuestiones importantes sin resolver, incluyendo cuánto tiempo permaneció expuesta la base de datos, si partes no autorizadas accedieron a ella y cómo se recopilaron originalmente los millones de imágenes.