ClarityCheckの顔写真900万件が公開状態に
मूल शीर्षक: Reverse-Lookup Service Exposed Millions of Photos of People’s Faces
यह क्यों महत्वपूर्ण है
変更不可能な生体データである顔写真の大規模漏洩は、なりすましやAI学習への悪用リスクをはらんでおり、人物検索サービス全体のプライバシー管理のあり方が問われる。
人物検索ツールClarityCheckが、900万件以上の画像ファイル（約450GB）を含むデータベースを無防備な状態で公開していたことが、セキュリティ研究者Jeremiah Fowlerの調査で判明した。顔写真のほか、メールアドレスや電話番号も露出していた。
独立系セキュリティ研究者Jeremiah Fowlerの調査により、人物検索サービスClarityCheckが、900万件以上の画像ファイルを含む約450GBのデータベースを、誰でもアクセス可能な状態で放置していたことが明らかになった。データはAmazon S3バケットに保存されており、「faces」や「profiles」という名称のフォルダに、大人・十代の若者・子どもの顔写真、プロフィール画像、スクリーンショットなどが含まれていた。さらに、別の設定ミスにより、ユーザーのメールアドレスや電話番号も公開状態となっていた。
ClarityCheckのウェブサイトは「リバース画像検索はプライベートかつ安全」と明示しているが、今回の調査はその主張と矛盾する結果となった。同サービスは電話番号・メールアドレス・VIN番号・氏名などの検索に対応しており、「写真から人物を特定し、SNSプロフィールを数秒で発見できる」と謳っている。
FowlerはWIREDに対し、「身元確認を試みる場合、許可を得ていないケースも多く、データベースに画像が登録された人物は全く知らない可能性がある。AIボットがクロールして顔を抽出し、学習データとして利用することも可能で、子どもの画像も多数含まれていた」と警告した。
WIREDが2026年7月にClarityCheckへ連絡した後、同社はデータベースへのアクセスを制限した。同社の広報担当者は「適切なチームに報告が届いた後、即座にアクセス制限を実施した」と述べたが、当該データが「公開状態にあった」との認識は否定し、「インデックス化されていない特定のURLの知識がなければアクセスできなかった」と説明した。