Um enorme banco de dados ligado ao serviço de consulta reversa ClarityCheck ficou sem proteção por senha ou criptografia, potencialmente expondo mais de nove milhões de imagens faciais.
O pesquisador independente de cibersegurança Jeremiah Fowler descobriu o armazenamento acessível ao público, que continha aproximadamente 450GB de dados. O ClarityCheck oferece ferramentas projetadas para identificar chamadas desconhecidas, verificar informações de contato e buscar informações sobre indivíduos online.
De acordo com as descobertas de Fowler, a coleção exposta incluía imagens de adultos, adolescentes e crianças. Algumas fotografias pareciam ter origem de fontes externas, incluindo redes sociais e sites de namoro. Fowler levantou preocupações de que as pessoas que aparecem no banco de dados possam não saber que suas fotografias haviam sido coletadas ou mantidas. O ClarityCheck contesta alegações feitas sobre a exposição. Relatório de Fowler no banco de dados ClarityCheck
A descoberta também levantou dúvidas sobre as práticas declaradas de retenção de imagens pelo ClarityCheck. Usuários teriam sido informados de que as fotografias enviadas permaneceriam armazenadas por 14 dias antes da exclusão automática. Fowler, no entanto, disse que identificou arquivos com carimbos de data e hora que pareciam se estender além desse período.
Ainda não se sabe por quanto tempo o banco de dados ficou acessível sem proteção ou se alguém mais descobriu ou baixou seu conteúdo. Fowler também não conseguiu estabelecer se o ClarityCheck operava diretamente a infraestrutura de armazenamento exposta ou se era gerenciado por um provedor externo.
A natureza do material vazado gera preocupações de privacidade diferentes das violações envolvendo informações convencionais de contas. Grandes coleções de fotografias faciais poderiam ser processadas usando tecnologia de reconhecimento facial para identificar ou rastrear indivíduos. Fowler alertou que os avanços em IA tornam cada vez mais possível comparar imagens faciais em grande escala, mesmo quando as fotografias não vêm acompanhadas de nomes ou outras informações identificativas.
O pesquisador também destacou a possibilidade de fotografias expostas serem incorporadas a conjuntos de dados usados para desenvolver ou melhorar sistemas de reconhecimento facial e vigilância. No entanto, não há evidências confirmadas nas descobertas fornecidas de que as imagens do ClarityCheck tenham sido realmente usadas para treinar modelos de IA.
Outra preocupação é a personificação. O acesso a inúmeras fotografias da mesma pessoa pode fornecer material útil para criar perfis enganosos ou conteúdos gerados por IA mais convincentes. Imagens envolvendo menores trazem riscos adicionais porque ferramentas generativas podem ser usadas de forma indebida para manipular fotografias legítimas em material sintético nocivo.
Ao contrário de senhas ou credenciais de pagamento, características faciais não podem simplesmente ser substituídas após uma exposição. Isso torna a incerteza em torno do uso e circulação eventual desses conjuntos de dados particularmente significativa.
O incidente deixa várias questões importantes sem solução, incluindo quanto tempo o banco de dados permaneceu exposto, se partes não autorizadas o acessaram e exatamente como os milhões de imagens foram originalmente coletados.