反向图像搜索服务泄露数百万人脸照片

# 人脸反查服务泄露数百万张人脸照片 来源：https://www.wired.com/story/reverse-lookup-service-exposed-millions-of-photos-of-peoples-faces/ 当用户向人员搜索工具ClarityCheck上传照片时，网站会明确提示："您的反向图像搜索是私密且安全的。"但最新研究(https://www.expressvpn.com/blog/clarity-check-data-exposed/)显示，该网站导致超过900万张图像文件（包括人脸照片）处于公开暴露状态(https://www.wired.com/tag/data-breaches/)。另有一处配置错误还公开泄露了用户的电子邮件地址和电话号码。 根据独立安全研究员Jeremiah Fowler的发现，暴露的ClarityCheck数据库包含约450GB图像，疑似包括个人资料图片、截图，以及成人、青少年和儿童的照片。所有图像均存储在未加密的亚马逊S3存储桶中，文件被分类放置在名为"faces"和"profiles"的文件夹中，任何人都能通过该公司公开网站代码中的URL在线访问。 ClarityCheck是近年来涌现的所谓"人员查找工具"之一。这类网站普遍宣称能够搜索网络、公共记录和其他数据库来识别个人身份。ClarityCheck官网显示其可查询电话号码、电子邮件、车辆识别码和姓名。其照片搜索页面更宣称能"识破照片中的任何人"并在"数秒内"找到社交媒体资料。 尽管ClarityCheck在7月《连线》杂志联系后迅速保护了该图像数据库，但Fowler警告称该数据库可能已暴露数月，且他最初向公司反映问题的努力并未成功。意外数据泄露会对任何个人信息造成风险，尤其对于人脸图像这类敏感且不可变更的生物特征数据。 虽然ClarityCheck要求用户上传照片时需确认已获得授权，但Fowler指出实际操作中，那些面部信息被泄露的人可能完全不知道其图像存于该数据库。毕竟该服务明确设计用于身份识别，而人们通常不会主动识别自己或熟人。 "如果你试图查明某人身份，可能并未获得授权，因此用户可能根本不知道自己的图像已被上传至这个公开数据库，"Fowler向《连线》表示，"AI机器人可以爬取这些数据，提取人脸用于模型训练，而数据库中包含大量儿童照片。" ClarityCheck发言人在声明中表示感谢Fowler提醒公司关注这些问题："相关团队获悉后立即采取行动限制访问。"该公司否认数据被"暴露"的说法，辩称"普通公众"不可能偶然发现这些数据："我们不认为临时存储位置中的数据被'公开暴露'——这暗示着大规模公开访问。访问这些数据需要知晓特定的未编目URL，该URL无法通过正常使用ClarityCheck服务或常规网络搜索发现。" 安全行业及美国联邦政府(https://www.cisa.gov/resources-tools/resources/exposure-reduction)普遍认为，若数据可被非授权人员访问（尤其当数据在开放互联网上无需认证即可访问时），即构成数据暴露。"暴露是指个人或敏感数据处于可访问、可发现或可能遭受未授权访问的状态，无论是否已被实际获取或滥用，"安全公司Malwarebytes消费产品负责人Mark Beare解释道，"公开可达的数据库备份、配置错误的存储桶，或暴露在研究人员可触及系统中的凭证，都属于暴露范畴。"