Serviço de pesquisa inversa expôs milhões de fotografias de rostos de pessoas
para assinantes Saiba mais Minimizar para a barra de navegação
Quando alguém carrega uma fotografia na ferramenta de pesquisa de pessoas ClarityCheck, o site apresenta uma mensagem clara: «A sua pesquisa reversa de imagens é privada e segura.» No entanto, uma nova investigação revela que o site deixou mais de 9 milhões de ficheiros de imagem, incluindo fotografias de rostos de pessoas, expostos publicamente. Além disso, uma segunda falha de configuração expôs publicamente os endereços de e-mail e números de telefone das pessoas.
No total, de acordo com as conclusões do investigador de segurança independente Jeremiah Fowler, a base de dados exposta do ClarityCheck continha cerca de 450 GB de imagens, incluindo o que pareciam ser imagens de perfil, capturas de ecrã e outras fotografias de adultos, adolescentes e crianças. Todas as imagens estavam armazenadas num bucket do Amazon S3 não protegido, com ficheiros em pastas denominadas «faces» e «profiles», que podiam ser acedidas por qualquer pessoa online através de um URL incluído no código do site da empresa, disponível publicamente.
O ClarityCheck é uma das várias ferramentas denominadas «localizadoras de pessoas» que surgiram online nos últimos anos. Estes sites afirmam, de forma genérica, ser capazes de pesquisar na web, em registos públicos e noutras bases de dados para identificar indivíduos. O site do ClarityCheck afirma que pode efetuar pesquisas por números de telefone, endereços de e-mail, números de identificação de veículos e nomes. A sua página de pesquisa de fotografias afirma que pode ajudar a «identificar qualquer pessoa numa fotografia» e a encontrar perfis nas redes sociais «em segundos».
Embora a ClarityCheck tenha protegido a gigantesca base de dados de imagens depois de a WIRED ter contactado a empresa em julho, Fowler adverte que esta parece ter estado exposta durante meses e que os seus esforços iniciais para alertar a empresa para o problema não tiveram sucesso. As exposições acidentais de dados criam riscos para qualquer informação pessoal, mas particularmente para dados biométricos sensíveis e imutáveis, como imagens faciais.
E embora o site da ClarityCheck exija que as pessoas atestem que têm permissão para carregar fotografias no seu site, Fowler salienta que, na prática, as pessoas cujos rostos foram expostos podem nem ter feito ideia de que a ClarityCheck detinha a sua imagem. Afinal, observa ele, o serviço foi explicitamente concebido para identificação, e as pessoas normalmente não procuram identificar-se a si próprias nem a pessoas que conhecem.
«Se estiver a tentar descobrir quem é uma pessoa, pode não ter autorização ou permissão, pelo que as pessoas podem não saber que a sua imagem foi introduzida nesta base de dados que era pública», explica Fowler à WIRED. «Um bot de IA poderia rastreá-la, extrair rostos e utilizá-los para treino. E há muitas fotografias de crianças lá dentro.»
Numa declaração enviada à WIRED, um porta-voz afirmou que a ClarityCheck apreciou os esforços de Fowler para alertar a empresa sobre estas questões. «Assim que isto foi levado ao conhecimento das equipas responsáveis, agimos imediatamente para restringir o acesso», afirmou o porta-voz.
A empresa contestou qualquer caracterização de que os dados tivessem sido «expostos», afirmando que um «cidadão comum» não teria tido acesso aos mesmos. «Não aceitamos que os dados no local de armazenamento temporário tenham sido “expostos publicamente”, o que implica acesso público em grande escala», afirma o porta-voz. «O acesso exigia o conhecimento de um URL específico e não indexado, que não era detetável através da utilização normal do serviço ClarityCheck ou de uma pesquisa geral na Internet.»
O setor da segurança em geral, bem como o governo federal dos EUA em particular, considera que os dados estão expostos se puderem ser acedidos por pessoas que não deveriam ter acesso — especialmente se estiverem acessíveis na Internet aberta sem estarem protegidos por um requisito de autenticação, como um nome de utilizador e uma palavra-passe. «A exposição é o estado em que os dados pessoais ou sensíveis foram deixados acessíveis, localizáveis ou, de alguma forma, colocados em risco de acesso não autorizado, independentemente de alguém já os ter obtido ou utilizado indevidamente», afirma Mark Beare, diretor de produtos de consumo da empresa de segurança Malwarebytes. «Um backup de base de dados acessível ao público, um bucket de armazenamento mal configurado ou credenciais presentes num sistema ao qual um investigador tenha acesso são, todos, casos de exposição.»
«Não há indícios de acesso malicioso, tal como o investigador refere», prosseguiu o comunicado da ClarityCheck. «Os dados em causa incluem cópias duplicadas, recortadas e redimensionadas dos mesmos ficheiros, juntamente com dados que não são imagens, e não 9 milhões de imagens únicas.»
A empresa acrescentou que «melhorou» os seus procedimentos de comunicação de segurança para ajudar outros investigadores a contactarem a empresa no futuro.
Para além dos dados faciais, a ClarityCheck também tinha configurado incorretamente as suas APIs, de tal forma que os URLs do seu site podiam ser manipulados para revelar dados sobre pessoas simplesmente introduzindo nomes; qualquer pessoa que utilizasse um navegador comum poderia ter feito isto. Ao introduzir um nome numa das URLs, eram apresentados vários endereços de e-mail, endereços físicos e números de telefone potenciais de pessoas com esse nome. Depois de a WIRED ter contactado a empresa, as URLs foram protegidas. O porta-voz da ClarityCheck afirmou no comunicado que os detalhes apresentados eram «provenientes de informação disponível publicamente e de fornecedores de dados de terceiros licenciados».
A funcionalidade de pesquisa facial da ClarityCheck permite que as pessoas carreguem uma imagem e, em seguida, recebam um «relatório» sobre onde essa imagem pode aparecer online e quem pode aparecer na fotografia. Quando um repórter da WIRED testou o sistema utilizando a sua própria imagem facial, o site indicou que estava a «analisar pontos de referência faciais» e a «mapear a geometria facial única» antes de comparar a imagem com outras online e apresentar um relatório que poderia incluir o nome completo, moradas, histórico de localização, aparições públicas, fotografias, vídeos, perfis nas redes sociais e «perfis de encontros ocultos», mediante o pagamento de uma taxa. O relatório resultante identificava o repórter, fornecia uma biografia e incluía links para várias fotografias suas na Internet.
Infelizmente, as configurações incorretas e as exposições acidentais são comuns na Internet, mas à medida que as plataformas digitais oferecem cada vez mais funcionalidades automatizadas para a recolha e análise de dados pessoais sensíveis, os riscos associados à proteção da informação tornam-se cada vez maiores.
«Os sistemas que dependem de informações pessoais altamente sensíveis para verificar a identidade das pessoas continuarão a apresentar estes riscos, mesmo com práticas mais rigorosas de minimização de dados e de segurança, porque o próprio modelo depende da recolha de dados sensíveis», afirma Rebecca Williams, diretora de estratégia para a privacidade e a governação de dados na União Americana pelas Liberdades Civis (ACLU).
Fowler salienta que os dados expostos, incluindo fotografias, são mais valiosos do que nunca para burlões ou cibercriminosos. «Imaginemos que eu fizesse parte de um grupo criminoso e estivesse a enganar pessoas: percorreria todas estas fotografias, escolheria as 20 pessoas mais atraentes e, depois, usaria apenas a imagem delas e a IA para criar uma identidade falsa», explica Fowler.
WIRED WIRED O Wired.com é o seu guia diário essencial para o que está para vir, oferecendo a perspetiva mais original e completa que encontrará em qualquer lugar sobre o impacto da inovação na tecnologia, ciência, negócios e cultura.