Un servizio di ricerca inversa ha esposto milioni di foto di volti di persone
Milioni di Volti Esposti: ClarityCheck Sotto Accusa per Gravi Lacune nella Sicurezza dei Dati
ClarityCheck, uno strumento di ricerca di persone che promette agli utenti una ricerca tramite immagine inversa "privata e sicura", è stato al centro di una massiccia esposizione di dati, secondo una nuova ricerca. Nonostante le rassicurazioni del sito, oltre 9 milioni di file immagine, inclusi primi piani di volti, sono stati lasciati pubblicamente accessibili, affiancati da una seconda configurazione errata che ha rivelato indirizzi e-mail e numeri di telefono degli utenti.
Le scoperte, emerse da un’indagine del ricercatore indipendente in sicurezza Jeremiah Fowler, rivelano che il database esposto di ClarityCheck conteneva circa 450 GB di immagini. Tra queste, figurano immagini profilo, screenshot e altre fotografie di adulti, adolescenti e bambini. Tutti i dati erano archiviati in un "Amazon S3 bucket" non protetto, con file organizzati in cartelle denominate "faces" e "profiles", accessibili a chiunque online tramite un URL incluso nel codice pubblico del sito web aziendale.
ClarityCheck si posiziona tra i numerosi strumenti di "ricerca persone" emersi online negli ultimi anni. Questi siti affermano di poter scandagliare il web, i registri pubblici e altri database per identificare individui. ClarityCheck, in particolare, dichiara di poter eseguire ricerche su numeri di telefono, indirizzi e-mail, numeri di identificazione del veicolo e nomi, e la sua pagina di ricerca fotografica promette di "identificare chiunque in una foto" e trovare profili social media "in pochi secondi".
Sebbene ClarityCheck abbia messo in sicurezza il gigantesco database di immagini dopo essere stata contattata da WIRED a luglio, Fowler avverte che i dati erano apparentemente esposti per mesi e i suoi primi tentativi di segnalare il problema all’azienda non avevano avuto successo. L’esposizione accidentale di dati personali comporta rischi significativi, specialmente per dati biometrici sensibili e immutabili come le immagini facciali.
ClarityCheck richiede agli utenti di attestare di avere il permesso di caricare foto sul suo sito, ma Fowler sottolinea come, nella pratica, le persone i cui volti sono stati esposti potrebbero non essere state a conoscenza che ClarityCheck possedeva la loro immagine. Il servizio è esplicitamente progettato per l’identificazione, e le persone non cercano tipicamente di identificare se stesse o individui che già conoscono. "Se stai cercando di scoprire chi è una persona, potresti non avere autorizzazione o permesso, quindi le persone potrebbero non sapere che la loro immagine è stata riversata in questo database pubblico", ha dichiarato Fowler a WIRED. "Un bot AI potrebbe scandagliarlo, estrarre volti e usarli per l’addestramento. E ci sono molte foto di bambini lì dentro."
In una dichiarazione inviata a WIRED, un portavoce di ClarityCheck ha espresso apprezzamento per gli sforzi di Fowler nel segnalare i problemi, affermando che "una volta che questo è stato portato all’attenzione dei team appropriati, abbiamo agito immediatamente per limitare l’accesso". Tuttavia, l’azienda ha contestato la caratterizzazione dei dati come "esposti", sostenendo che un "comune membro del pubblico" non li avrebbe trovati. "Non accettiamo che i dati nella posizione di archiviazione temporanea siano stati ‘pubblicamente esposti’, il che implica un accesso pubblico su larga scala", ha affermato il portavoce. "L’accesso richiedeva la conoscenza di un URL specifico, non indicizzato, che non era scopribile tramite l’uso ordinario del servizio ClarityCheck o una ricerca web generale."
L’industria della sicurezza in generale, e il governo federale degli Stati Uniti in particolare, considerano i dati "esposti" se possono essere accessibili da persone non autorizzate, specialmente se raggiungibili su internet senza essere protetti da un requisito di autenticazione. Mark Beare, responsabile dei prodotti consumer presso l’azienda di sicurezza Malwarebytes, chiarisce: "L’esposizione è lo stato in cui dati personali o sensibili sono stati lasciati accessibili, scopribili o comunque messi a rischio di accesso non autorizzato, indipendentemente dal fatto che qualcuno li abbia già presi o utilizzati in modo improprio. Un backup di database pubblicamente raggiungibile, un bucket di archiviazione mal configurato o credenziali presenti in un sistema raggiungibile da un ricercatore sono tutti esempi di esposizioni."