Filtración de rostros en ClarityCheck: más de 9 millones de fotos quedaron expuestas

Más de 9 millones de imágenes de rostros quedaron expuestas en internet, todo gracias a la negligencia de otra empresa dedicada a la búsqueda inversa de imágenes y a la verificación de identidad. Jeremiah Fowler, especialista en ciberseguridad conocido por rastrear bases de datos olvidadas y sin protección, desenterró hace unos días otro tesoro de 450 gigabytes. Contenía 9.042.977 archivos: fotos de perfil, capturas de pantalla e incluso imágenes escaneadas de archivos en papel. En las carpetas aparecían adultos, adolescentes y niños; en sus nombres destacaban las palabras «faces» y «profiles».

Tras una breve investigación, quedó claro que la base de datos pertenecía a la empresa estadounidense ClarityCheck. La firma ofrece oficialmente servicios de búsqueda por teléfono, correo electrónico, fotografías e incluso vehículos. Promete ayudar a identificar a un conocido sospechoso, comprobar si la persona de una foto es falsa y, en general, mejorar la higiene digital mediante datos de «fuentes fiables».

En teoría, es un negocio útil: mientras unos inventan perfiles falsos para estafas románticas, otros quieren asegurarse de algún modo de que detrás de un nombre de usuario hay una persona y no un puñado de píxeles generados por inteligencia artificial.

En cuanto Fowler averiguó a quién pertenecía la base filtrada, avisó enseguida a ClarityCheck. La empresa cerró el acceso con rapidez, se dio por satisfecha y dio las gracias: decía que ahora los usuarios podían respirar tranquilos. Incluso escribió que valoraba las investigaciones éticas. Eso sí, no se sabe cuánto tiempo estuvo expuesta la base ni si alguien más accedió a ella. Además, por ahora no hay indicios de que estén intercambiando esas fotos por bitcoins en algún mercado negro.

La causa principal de estos incidentes es sencilla y dolorosamente banal: un error en la configuración del almacenamiento de datos. Hoy casi cualquier empresa lleva los retratos de sus clientes a la nube por comodidad. Los proveedores de servicios en la nube ofrecen herramientas de seguridad, pero la responsabilidad de usarlas recae en los clientes. Muchos no se dan cuenta —o fingen no hacerlo— y aseguran que proteger los datos es cosa del proveedor. A unos se les olvida poner una contraseña; a otros, activar el cifrado.

Y los delincuentes no descansan: hay herramientas gratuitas como Shodan, Censys o FOFA que encuentran sin dificultad estos datos «desprotegidos» y los recopilan para falsificar correos, hacer phishing y quién sabe cuántas cosas más. En los últimos años, estas historias se han vuelto habituales. Primero, Nextcloud, en Europa, dejó expuesta una base de empleados y clientes con 367.000 registros; luego, IMDataCenter, en Florida, perdió 38 gigabytes de datos personales. En 2024, TrackMan «obsequió» a todos con 110 terabytes y 31 millones de registros sin contraseña alguna.

¿La moraleja? Cuando se trata de datos, nadie está a salvo: ni las corporaciones ni los ciudadanos de a pie.