Une immense base de données liée au service de recherche inversée ClarityCheck s’est retrouvée sans protection par mot de passe ni chiffrement, exposant potentiellement plus de neuf millions d’images faciales.
Le chercheur indépendant en cybersécurité Jeremiah Fowler a découvert ce stockage accessible au public, qui contenait environ 450 Go de données. ClarityCheck propose des outils conçus pour identifier les appelants inconnus, vérifier les coordonnées et rechercher des informations sur des individus en ligne.
Selon les conclusions de Fowler, la collection exposée comprenait des images d’adultes ainsi que d’adolescents et d’enfants. Certaines photographies semblaient provenir de sources externes, notamment des plateformes de réseaux sociaux et des sites de rencontres. Fowler a exprimé des inquiétudes quant au fait que les personnes apparaissant dans la base de données ne savaient pas que leurs photographies avaient été collectées ou conservées. ClarityCheck a contesté les allégations faites concernant l’exposition. Le rapport de Fowler sur la base de données ClarityCheck
Cette découverte a également soulevé des questions sur les pratiques déclarées de ClarityCheck en matière de conservation d’images. Les utilisateurs auraient été informés que les photographies qu’ils téléverseraient resteraient stockées pendant 14 jours avant suppression automatique. Fowler, cependant, a indiqué avoir identifié des fichiers portant des horodatages qui semblaient dépasser cette période.
On ignore encore combien de temps la base de données a été accessible sans protection ni si quelqu’un d’autre a découvert ou téléchargé son contenu. Fowler n’a pas non plus pu déterminer si ClarityCheck exploitait directement l’infrastructure de stockage exposée ou si elle était gérée par un fournisseur externe.
La nature du matériel divulgué crée des préoccupations différentes en matière de vie privée par rapport aux violations impliquant des informations de compte conventionnelles. De grandes collections de photographies faciales pourraient potentiellement être traitées à l’aide de technologies de reconnaissance faciale pour identifier ou suivre des individus. Fowler a averti que les avancées de l’IA rendent de plus en plus possible de comparer les images faciales à grande échelle, même lorsque les photographies ne sont pas accompagnées de noms ou d’autres informations d’identification.
Le chercheur a également souligné la possibilité que des photographies exposées soient intégrées dans des ensembles de données utilisés pour développer ou améliorer les systèmes de reconnaissance et de surveillance faciale. Cependant, il n’existe aucune preuve confirmée dans les résultats fournis que les images ClarityCheck aient réellement été utilisées pour entraîner des modèles d’IA.
Une autre préoccupation est l’usurpation d’identité. L’accès à de nombreuses photographies de la même personne pourrait fournir du matériel utile pour créer des profils trompeurs ou un contenu généré par IA plus convaincant. Les images impliquant des mineurs comportent des risques supplémentaires car les outils génératifs peuvent être détournés pour manipuler des photographies légitimes en matériaux synthétiques nuisibles.
Contrairement aux mots de passe ou aux identifiants de paiement, les caractéristiques faciales ne peuvent pas simplement être remplacées après une exposition. Cela rend l’incertitude entourant l’utilisation et la circulation éventuelles de ces ensembles de données particulièrement significative.
L’incident laisse plusieurs questions importantes non résolues, notamment la durée pendant laquelle la base de données est restée exposée, si des parties non autorisées y ont accédé, et comment exactement les millions d’images ont été collectées à l’origine.