Un enorme database collegato al servizio di ricerca inversa ClarityCheck è rimasto senza protezione da password o crittografia, potenzialmente esponendo oltre nove milioni di immagini facciali.
Il ricercatore indipendente di cybersecurity Jeremiah Fowler ha scoperto lo storage accessibile al pubblico, che conteneva circa 450GB di dati. ClarityCheck fornisce strumenti progettati per identificare chiamanti sconosciuti, verificare le informazioni di contatto e cercare informazioni su individui online.
Secondo le scoperte di Fowler, la collezione esposta includeva immagini di adulti, adolescenti e bambini. Alcune fotografie sembravano provenire da fonti esterne, inclusi social media e siti di incontri. Fowler ha sollevato preoccupazioni sul fatto che le persone presenti nel database potrebbero non aver saputo che le loro fotografie erano state raccolte o conservate. ClarityCheck ha contestato le affermazioni fatte sull’esposizione. Il rapporto di Fowler sul database ClarityCheck
La scoperta ha sollevato anche dubbi sulle pratiche dichiarate di conservazione delle immagini da parte di ClarityCheck. Gli utenti sarebbero stati informati che le fotografie caricate sarebbero rimaste memorizzate per 14 giorni prima di cancellarsi automaticamente. Fowler, tuttavia, ha dichiarato di aver identificato file con timestamp che sembravano estendersi oltre quel periodo.
Non si sa per quanto tempo il database sia stato accessibile senza protezione o se qualcun altro ne abbia scoperto o scaricato i contenuti. Fowler non è riuscito nemmeno a stabilire se ClarityCheck gestisse direttamente l’infrastruttura di archiviazione esposta o se fosse gestita da un fornitore esterno.
La natura del materiale trapelato genera diverse preoccupazioni sulla privacy rispetto alle violazioni che coinvolgono informazioni convenzionali sugli account. Grandi collezioni di fotografie facciali potrebbero potenzialmente essere elaborate utilizzando la tecnologia di riconoscimento facciale per identificare o tracciare individui. Fowler ha avvertito che i progressi nell’IA rendono sempre più possibile confrontare immagini facciali su larga scala anche quando le fotografie non sono accompagnate da nomi o altre informazioni identificative.
Il ricercatore ha inoltre evidenziato la possibilità che fotografie esposte vengano incorporate in dataset utilizzati per sviluppare o migliorare sistemi di riconoscimento e sorveglianza facciale. Tuttavia, non ci sono prove confermate nei risultati forniti che le immagini ClarityCheck siano state effettivamente utilizzate per addestrare modelli di IA.
Un’altra preoccupazione è l’impersonificazione. L’accesso a numerose fotografie della stessa persona potrebbe fornire materiale utile per creare profili ingannevoli o contenuti generati da IA più convincenti. Le immagini che coinvolgono minori comportano rischi aggiuntivi perché gli strumenti generativi possono essere usati in modo improprio per manipolare fotografie autentiche in materiale sintetico dannoso.
A differenza delle password o delle credenziali di pagamento, le caratteristiche facciali non possono essere semplicemente sostituite dopo un’esposizione. Questo rende particolarmente significativa l’incertezza riguardo all’uso e alla circolazione eventuali di tali dataset.
L’incidente lascia diverse questioni importanti irrisolte, tra cui quanto tempo il database sia rimasto esposto, se parti non autorizzate vi abbiano avuto accesso e come esattamente le milioni di immagini siano state originariamente raccolte.