Een enorme database gekoppeld aan de omgekeerde zoekdienst ClarityCheck bleef zonder wachtwoordbeveiliging of encryptie achter, waardoor mogelijk meer dan negen miljoen gezichtsafbeeldingen blootgesteld werden.
Onafhankelijk cybersecurityonderzoeker Jeremiah Fowler ontdekte de openbaar toegankelijke opslag, die ongeveer 450GB aan data bevatte. ClarityCheck biedt tools die onbekende bellers kunnen identificeren, contactgegevens verifiëren en online zoeken naar informatie over personen.
Volgens Fowlers bevindingen omvatte de blootgestelde collectie beelden van volwassenen, tieners en kinderen. Sommige foto’s leken afkomstig te zijn van externe bronnen, waaronder sociale mediaplatforms en datingsites. Fowler uitte zorgen dat mensen die in de database verschenen mogelijk niet wisten dat hun foto’s waren verzameld of bewaard. ClarityCheck heeft beweringen over de blootstelling betwist. Fowlers rapport over de ClarityCheck-database
De ontdekking riep ook vragen op over de door ClarityCheck verklaarde praktijken voor het bewaren van beelden. Gebruikers zouden naar verluidt zijn geïnformeerd dat de foto’s die ze uploadden 14 dagen zouden blijven opgeslagen voordat ze automatisch werden verwijderd. Fowler zei echter dat hij bestanden had geïdentificeerd met tijdstempels die leken te durven bestaan uit die periode.
Het blijft onbekend hoe lang de database zonder bescherming toegankelijk was of of iemand anders de inhoud heeft ontdekt of gedownload. Fowler kon ook niet vaststellen of ClarityCheck de blootgestelde opslaginfrastructuur direct beheerde of dat deze werd beheerd door een externe provider.
De aard van het gelekte materiaal roept andere privacyzorgen op dan inbreuken met conventionele accountinformatie. Grote verzamelingen gezichtsfoto’s zouden mogelijk kunnen worden verwerkt met gezichtsherkenningstechnologie om individuen te identificeren of te volgen. Fowler waarschuwde dat vooruitgang in AI het steeds beter maakt om gezichtsafbeeldingen op grote schaal te matchen, zelfs wanneer foto’s niet worden vergezeld van namen of andere identificerende informatie.
De onderzoeker benadrukte ook de mogelijkheid dat blootgestelde foto’s worden opgenomen in datasets die worden gebruikt om gezichtsherkennings- en surveillancesystemen te ontwikkelen of te verbeteren. Er is echter geen bevestigd bewijs in de geleverde bevindingen dat de ClarityCheck-beelden daadwerkelijk zijn gebruikt om AI-modellen te trainen.
Een andere zorg is imitatie. Toegang tot talrijke foto’s van dezelfde persoon kan nuttig materiaal bieden voor het maken van misleidende profielen of overtuigendere, door AI gegenereerde inhoud. Afbeeldingen met minderjarigen brengen extra risico’s met zich mee omdat generatieve hulpmiddelen misbruikt kunnen worden om legitieme foto’s om te zetten in schadelijk synthetisch materiaal.
In tegenstelling tot wachtwoorden of betaalgegevens kunnen gezichtskenmerken niet zomaar worden vervangen na een blootstelling. Dat maakt de onzekerheid over het uiteindelijke gebruik en de verspreiding van dergelijke datasets bijzonder belangrijk.
Het incident laat verschillende belangrijke vragen onopgelost, waaronder hoe lang de database blootgesteld bleef, of ongeautoriseerde partijen er toegang toe hebben gehad en precies hoe de miljoenen beelden oorspronkelijk zijn verzameld.