De online zoekdienst ClarityCheck heeft ruim 9 miljoen beeldbestanden openbaar toegankelijk opgeslagen. Het ging om ongeveer 450 gigabyte aan foto’s, waaronder profielfoto’s, screenshots en andere afbeeldingen van volwassenen, tieners en kinderen. Ook e-mailadressen en telefoonnummers waren door een afzonderlijke fout bereikbaar.
De bestanden stonden in een onbeveiligde Amazon S3-bucket. De opslag was toegankelijk via een internetadres dat in de openbare broncode van de website stond. In de database waren mappen zichtbaar met namen als ‘faces’ en ‘profiles’.
De beveiligingsonderzoeker Jeremiah Fowler ontdekte de blootstelling. Volgens zijn bevindingen was de database waarschijnlijk maandenlang voor iedereen op internet toegankelijk. Zijn eerste pogingen om het bedrijf op de kwetsbaarheid te wijzen, hadden geen resultaat.
ClarityCheck heeft de grote beeldopslag na meldingen in juli afgeschermd. Daarmee is de directe toegang tot de database beëindigd, maar het is niet duidelijk hoeveel mensen de bestanden in de periode daarvoor konden bekijken of downloaden.
Zoekdienst voor personen
ClarityCheck maakt deel uit van een groep online diensten die beweren mensen te kunnen vinden met gegevens uit openbare bronnen en andere databases. De website biedt zoekopdrachten aan op basis van onder meer telefoonnummers, e-mailadressen, voertuigidentificatienummers en namen.
Daarnaast kunnen gebruikers een foto uploaden voor een omgekeerde zoekopdracht. De dienst zegt daarmee personen in een afbeelding te kunnen identificeren en bijbehorende profielen op sociale media te kunnen vinden. Gebruikers moeten verklaren dat zij toestemming hebben om de foto te uploaden.
Dat biedt volgens Fowler geen zekerheid voor de mensen van wie de gezichten in de database terechtkwamen. Zij kunnen niet hebben geweten dat ClarityCheck hun afbeelding opsloeg. Vooral gezichtsafbeeldingen vormen een gevoelig risico, omdat biometrische gegevens moeilijk of niet te veranderen zijn nadat ze openbaar zijn geworden.
De blootstelling laat daarnaast zien dat de foto’s niet alleen de afbeeldingen van betalende of actieve gebruikers kunnen zijn geweest. De database bevatte ook beeldmateriaal dat als profielfoto of screenshot was opgeslagen. Hoe de dienst deze bestanden verzamelde en hoe lang ze precies bewaard bleven, is niet bekendgemaakt.
