얼굴 사진 900만장 무방비 노출
원제: Reverse-Lookup Service Exposed Millions of Photos of People’s Faces
왜 중요한가
얼굴 이미지 등 변경 불가능한 생체정보의 대규모 무단 노출은 AI 학습 데이터 오남용 및 신원 도용 등 심각한 보안 위협으로 이어질 수 있어 인물 검색 서비스 전반의 데이터 관리 규제 논의를 가속할 전망이다.
사람 검색 서비스 ClarityCheck가 '비공개·보안'을 표방하면서도 900만 건 이상의 얼굴 사진 파일(약 450GB)을 Amazon S3 버킷에 무방비 상태로 공개 노출시킨 것이 보안 연구자 Jeremiah Fowler에 의해 2026년 8월 발견됐다. 이메일 주소 및 전화번호도 함께 노출된 것으로 확인됐다.
독립 보안 연구자 Jeremiah Fowler는 인물 검색 서비스 ClarityCheck의 Amazon S3 버킷이 비보안 상태로 공개되어 있었음을 발견했다. 해당 버킷에는 '얼굴(faces)'과 '프로필(profiles)'로 이름 붙여진 폴더에 성인·청소년·아동의 프로필 사진, 스크린샷 등 약 450GB, 900만 건 이상의 이미지 파일이 저장되어 있었다. 접근 URL은 ClarityCheck의 공개 웹사이트 코드에 포함되어 있어 누구나 접근 가능한 상태였다. 별도의 설정 오류로 인해 이용자의 이메일 주소와 전화번호도 공개 노출됐다.
ClarityCheck는 전화번호, 이메일, 차량 식별번호, 이름은 물론 사진으로 인물을 식별하는 역방향 이미지 검색 기능을 제공하는 서비스다. 사진 업로드 시 웹사이트는 '검색은 비공개이며 안전하다'고 명시하고 있다.
Fowler는 WIRED에 "인물을 식별하려는 사람이 반드시 당사자의 동의를 받은 것은 아닐 수 있으며, 사진 속 인물은 자신의 얼굴이 해당 데이터베이스에 저장됐다는 사실조차 모를 수 있다"고 경고했다. 또한 "AI 봇이 이 데이터를 크롤링해 학습 데이터로 활용할 수 있으며, 데이터베이스에는 아동 사진도 다수 포함되어 있다"고 덧붙였다.
WIRED가 2026년 7월 ClarityCheck에 문제를 통보한 뒤 회사는 접근을 차단했다. 회사 측은 성명을 통해 "적절한 팀이 이 사실을 인지한 직후 즉시 접근을 제한했다"고 밝혔다. 다만 데이터가 '공개 노출'됐다는 표현에는 이의를 제기하며, "일반 대중이 우연히 접근할 수 있는 형태가 아니었으며, 공개 색인되지 않은 특정 URL을 알아야만 접근 가능했다"고 주장했다. Fowler에 따르면 해당 데이터는 수개월간 노출된 상태였으며, 초기 신고 당시 회사 측의 대응은 이루어지지 않았다.