Quando alguém envia uma foto para a ferramenta de busca de pessoas ClarityCheck, o site exibe uma mensagem clara: “Sua busca reversa por imagem é privada e segura”. Novas pesquisas, porém, mostram que o site deixou mais de 9 milhões de arquivos de imagem, incluindo fotografias de rostos de pessoas, expostos publicamente. Uma segunda configuração incorreta também deixou públicos endereços de e-mail e números de telefone.
No total, segundo apuração do pesquisador independente de segurança Jeremiah Fowler, o banco de dados exposto da ClarityCheck continha cerca de 450 GB de imagens, incluindo o que pareciam ser fotos de perfil, capturas de tela e outras fotografias de adultos, adolescentes e crianças. Todas as imagens estavam armazenadas em um bucket S3 da Amazon sem proteção, com arquivos em pastas chamadas “faces” e “profiles”, que podiam ser acessados por qualquer pessoa na internet por meio de uma URL incluída no código do site disponibilizado publicamente pela empresa.
A ClarityCheck é uma entre várias ferramentas conhecidas como buscadores de pessoas que surgiram na internet nos últimos anos. Esses sites afirmam, de forma ampla, que conseguem pesquisar a web, registros públicos e outros bancos de dados para identificar indivíduos. No site da ClarityCheck, a empresa diz que pode fazer buscas a partir de números de telefone, endereços de e-mail, números de identificação de veículos e nomes. A página de busca por foto afirma que o serviço pode ajudar a “identificar qualquer pessoa em uma foto” e encontrar perfis em redes sociais “em segundos”.
Embora a ClarityCheck tenha protegido o enorme banco de dados de imagens após ser contatada em julho, Fowler alerta que ele aparentemente ficou exposto por meses, e suas primeiras tentativas de sinalizar o problema à empresa não tiveram sucesso. Exposições acidentais de dados criam riscos para qualquer informação pessoal, mas especialmente para dados biométricos sensíveis e impossíveis de alterar, como imagens de rosto.
E, embora o site da ClarityCheck exija que as pessoas confirmem que têm permissão para enviar fotos à plataforma, Fowler observa que, na prática, as pessoas cujos rostos foram expostos talvez não tivessem qualquer ideia de que a ClarityCheck mantinha suas imagens. Afinal, diz ele, o serviço foi criado justamente para identificar pessoas, e ninguém costuma buscar se identificar a si mesmo ou a conhecidos.
“Se você está tentando descobrir quem é uma pessoa, talvez não tenha autorização ou permissão, então essas pessoas podem não saber que sua imagem foi parar nesse banco de dados público”, disse Fowler à mídia. “Um bot de IA poderia fazer a varredura, extrair os rostos e usá-los para treinamento. E há muitas fotos de crianças lá.”
Em comunicado enviado à entrevistadores, um porta-voz afirmou que a ClarityCheck agradeceu os esforços de Fowler para alertar a empresa sobre os problemas. “Assim que isso foi levado ao conhecimento das equipes apropriadas, agimos imediatamente para restringir o acesso”, disse o porta-voz.
A empresa contestou qualquer caracterização de que os dados estivessem “expostos”, alegando que um “membro comum do público” não teria encontrado o material. “Não aceitamos que os dados no local de armazenamento temporário tenham sido ‘publicamente expostos’, o que implica acesso público em larga escala”, afirmou o porta-voz. “O acesso exigia conhecimento de uma URL específica, não indexada, que não podia ser descoberta pelo uso normal do serviço ClarityCheck nem por uma busca genérica na web.”
De modo geral, o setor de segurança e também o governo federal dos Estados Unidos consideram que dados estão expostos quando podem ser acessados por pessoas que não deveriam ter acesso, especialmente se estiverem disponíveis na internet aberta sem proteção por autenticação, como usuário e senha. “Exposição é o estado em que dados pessoais ou sensíveis foram deixados acessíveis, descobríveis ou de outra forma colocados em risco de acesso não autorizado, independentemente de alguém já tê-los acessado ou usado indevidamente”, diz Mark Beare, chefe de produtos de consumo da empresa de segurança Malwarebytes. “Um backup de banco de dados acessível publicamente, um bucket de armazenamento mal configurado ou credenciais em um sistema que um pesquisador consegue alcançar são todos exemplos de exposição.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...