Утечка лиц в ClarityCheck: больше 9 миллионов фото оказались в открытом доступе

Более 9 миллионов изображений с лицами людей оказались в открытом доступе — и всё благодаря очередной халатности компании, работающей с перевёрнутым поиском изображений и проверкой личности. Специалист по кибербезопасности Джеремайя Фаулер, известный своей охотой за забытыми и незащищёнными базами данных, на днях откопал очередной клад размером в 450 гигабайт. Там оказалось 9 042 977 файлов: фотографии профилей, скриншоты и даже отсканированные снимки из бумажных архивов. В папках красовались взрослые, подростки и дети, а в названиях папок краснели надписи «faces» и «profiles».

После небольшого расследования стало ясно: база принадлежит американской компании ClarityCheck. Эта фирма официально работает в сфере поиска по телефону, почте, фотографиям и даже транспортным средствам. Обещают помочь вычислить подозрительного знакомого, проверить, не фейк ли человек на фото, и вообще наладить цифровую гигиену с помощью данных из «надёжных источников».

Теоретически, бизнес нужный: пока одни придумывают фейковые анкеты для любовных афер, другие хотят хоть как-то удостовериться, что под ником действительно человек, а не набор пикселей с искусственным интеллектом.

Как только Фаулер разобрался, кому принадлежит утекшая база, он тут же сообщил ClarityCheck. Компания оперативно закрыла доступ, осталась довольна, поблагодарила: мол, спасибо, что помогли — теперь пользователи могут вздохнуть спокойно. Они даже написали, что ценят этические расследования. Вот только сколько времени база лежала открытой и заходил ли туда кто-то ещё — неизвестно. К тому же пока не нашли признаков, что эти фото меняют на биткоины где-то на чёрном рынке.

Главная причина таких инцидентов проста и до боли банальна: сбой в настройках хранения данных. Сегодня почти любая фирма тащит клиентские портреты в облако ради удобства. Провайдеры облачных сервисов дают инструменты безопасности, но ответственность за их использование ложится на пользователей. Многие об этом не догадываются (или делают вид), уверяя, что защищать данные — задача провайдера. Кто-то забывает поставить пароль, кто-то — включить шифрование.

А криминальные элементы не дремлют: есть бесплатные утилиты вроде Shodan, Censys или FOFA, которые без труда ищут такие «неприкрытые» данные и тащат их для подделки писем, фишинга, да мало ли чего ещё. За последние годы такие истории стали привычкой. То у европейского Nextcloud была публичная база сотрудников и клиентов на 367 тысяч записей, то флоридский IMDataCenter пролюбил 38 гигабайт персональных данных. В 2024 году компания TrackMan «порадовала» — 110 террабайт на 31 миллион записей без какого-либо пароля.

Мораль? Когда речь идёт о данных, никто не застрахован — ни корпорации, ни простые граждане.