Arcfelismerő kereső adatvédelmi botránya: milliók fotói maradtak védelem nélkül
Egy arcfelismerő kereső használata elsőre kényelmes megoldásnak tűnhet. Feltöltünk egy képet, majd információkat keresünk a rajta szereplő személyről. A ClarityCheck esete azonban megmutatta, milyen komoly adatvédelmi kockázatokat rejthet egy ilyen szolgáltatás.
Jeremiah Fowler biztonsági kutató egy jelszó nélkül elérhető adatbázist talált. A tároló nagyjából 450 gigabájt adatot tartalmazott. Több mint 9 millió fájl szerepelt benne, köztük arcokat és profilokat tartalmazó képek.
Olyan emberek fotói is bekerülhettek, akik nem használták a szolgáltatást
A ClarityCheck egy online arcképkereső szolgáltatás. A felhasználó feltölthet egy fotót, hogy megtalálja a rajta szereplő személyt. A rendszer közösségi profilokat és más azonosító információkat is kereshet.
A probléma különösen kellemetlen, mert a képen szereplő személy nem feltétlenül használta a ClarityChecket. Másvalaki tölthette fel a fotóját, például egy közösségi oldalról vagy társkereső profilból.
A kutató profilképeket, képernyőmentéseket és fényképeket is talált. A fájlok között felnőttek, tinédzserek és gyerekek képei is megjelentek. Egyes időbélyegek ráadásul túllépték a cég által ígért 14 napos törlési időt.
Az eldugott webcím nem jelent valódi védelmet
A ClarityCheck szerint az adatbázis nem volt nyilvánosan kereshető. A hozzáféréshez egy konkrét, indexelés nélküli webcímre volt szükség. Ez a cím azonban a szolgáltatás nyilvános webkódjában is megtalálható volt.
Technikai szemmel ez fontos különbség: az „eldugott” cím nem azonos a jelszóval védett rendszerrel. Ha egy kutató megtalálta, mások számára is elérhető lehetett.
Más biztonsági probléma is felmerült
A WIRED beszámolója szerint a ClarityCheck API-jai szintén kockázatot jelenthettek. Bizonyos URL-ek módosításával nevekre keresve lehetséges e-mail-címek, telefonszámok és lakcímek jelenhettek meg.
Nincs bizonyíték arra, hogy illetéktelenek ténylegesen hozzáfértek volna az adatbázishoz. A történet mégis figyelmeztető. Egy arcfelismerő kereső használata előtt érdemes megkérdezni: valóban tudjuk, hol tárolják a feltöltött képet?
Az AI-alapú hamis profilok és csalások korában egy kiszivárgott arckép már nem egyszerű fénykép. Könnyen egy újabb visszaélés alapanyagává válhat.