ClarityCheck : 9 millions de photos de visages exposées

ClarityCheck, un outil de recherche de personnes en ligne, affiche sur son site que sa recherche inversée d'images est « privée et sécurisée ». Pourtant, le chercheur indépendant Jeremiah Fowler a découvert que la société avait laissé une base de données de plus de 9 millions de fichiers images — environ 450 Go — stockée dans un bucket Amazon S3 non sécurisé, accessible à quiconque via une URL présente dans le code source public du site. Les dossiers étaient nommés « faces » et « profiles » et contenaient des photos de visages d'adultes, d'adolescents et d'enfants, ainsi que des captures d'écran et des photos de profil. Une seconde mauvaise configuration avait également exposé des adresses e-mail et des numéros de téléphone d'utilisateurs. Fowler indique que la base de données est restée exposée pendant plusieurs mois et que ses premières tentatives d'alerte auprès de ClarityCheck sont restées sans réponse. WIRED a contacté la société en juillet 2026 ; l'accès a ensuite été restreint. Dans un communiqué, un porte-parole de ClarityCheck a déclaré avoir « agi immédiatement » une fois le problème signalé aux équipes concernées, tout en contestant le terme « exposition », affirmant qu'un « membre ordinaire du public » n'aurait pas pu y accéder sans connaître l'URL spécifique. Fowler souligne le risque particulier lié à des données biométriques immuables comme les images de visages, qui auraient pu être exploitées par des bots d'IA pour l'entraînement de modèles.