顔写真900万枚超が公開状態に、ClarityCheckで
原題: Reverse-Lookup Service Exposed Millions of Photos of People’s Faces
なぜ重要か
変更不可な生体情報である顔画像の大規模な設定ミス露出は、人物検索サービス全体のセキュリティ管理のあり方と規制の必要性を問う事例となる。
人物検索サービス「ClarityCheck」が、顔写真を含む900万件超・約450GBの画像データを、Amazon S3の無設定バケットで誰でもアクセス可能な状態に置いていたことが、独立系セキュリティ研究者Jeremiah Fowlerの調査で明らかになった。メールアドレスや電話番号も別の設定ミスで露出。WIREDが同社に連絡した2026年7月以降にアクセスは制限された。
独立系セキュリティ研究者のJeremiah Fowlerは、人物検索サービス「ClarityCheck」のデータベースに重大な設定ミスを発見した。露出していたのは900万件以上の画像ファイルで、総容量は約450GB。ファイルは「faces」「profiles」と名付けられたフォルダに格納されており、成人・10代・子どもの顔写真、プロフィール画像、スクリーンショットなどが含まれていた。これらはすべてAmazon S3の無設定バケットに保存されており、同社の公開ウェブサイトのコードに含まれるURLを通じて誰でもアクセス可能な状態だったとFowlerは指摘する。さらに、別の設定ミスによりユーザーのメールアドレスや電話番号も公開されていた。
ClarityCheckは、電話番号・メールアドレス・車両識別番号・氏名などを基に人物を特定できると謳う「人物検索ツール」の一つで、写真から「数秒でSNSプロフィールを特定できる」とも主張している。同サービスはユーザーに対し、アップロードする写真の利用許可を取得していることの確認を求めているが、Fowlerは「顔を特定しようとしている場合、本人の許可を得ていない可能性があり、自分の画像がこのデータベースに収録されていることを当事者は知らないケースが多い」と警告する。また、AIボットがデータを収集して顔画像をモデル学習に転用するリスクや、子どもの画像が多数含まれている点も問題視している。
FowlerがWIREDに連絡した2026年7月以降、同社はアクセスを制限した。ClarityCheckの広報担当者は「適切なチームに報告を受けた後、直ちにアクセス制限を実施した」と声明を発表した。一方で、同社は「データが露出していた」との表現に異議を唱え、「一般的なユーザーが偶然アクセスできる状況ではなく、公開インデックスに登録されていない特定のURLの知識が必要だった」と主張している。ただし、Fowlerは最初の通報が同社に届かなかったと述べており、データが数カ月間にわたり露出していた可能性があるとしている。