كشف الباحث الأمني جيريميا فاولر عن قاعدة بيانات غير مؤمّنة مرتبطة بخدمة «ClarityCheck» المتخصصة في البحث عن الأشخاص، تضم أكثر من 9 ملايين ملف، بينها صور لوجوه أشخاص، رغم أن الخدمة تروّج لميزة البحث العكسي عن الصور باعتبارها خاصة وآمنة.
تابعونا على التليكرام
وتقدم «ClarityCheck» خدمات تساعد المستخدمين على التحقق من هوية أشخاص غرباء والعثور على معلومات مرتبطة بهم عبر الإنترنت، ما يجعل أي خلل أمني يتعلق بالصور التي يرفعها المستخدمون أكثر حساسية من المعتاد.
450 غيغابايت من البيانات بلا كلمة مرور
وبحسب بحث نشره فاولر عبر «ExpressVPN»، بلغت مساحة قاعدة البيانات نحو 450 غيغابايت، ولم تكن تتطلب كلمة مرور للوصول إليها.
وضمت القاعدة مجلدات بأسماء مثل «faces» و«profiles»، واحتوت على صور شخصية ولقطات شاشة وصور أخرى لأشخاص بالغين ومراهقين وأطفال، وفق تقرير نشره موقع «Digital Trends».
وكان موقع التخزين قابلًا للوصول عبر عنوان URL عثر عليه الباحث داخل الشفرة البرمجية المتاحة للعامة على موقع «ClarityCheck»، قبل أن تقوم الشركة لاحقًا بتقييد الوصول إليه.
بعض أصحاب الصور ربما لم يستخدموا الخدمة أصلًا
وتزداد حساسية القضية لأن «ClarityCheck» تتيح للمستخدم رفع صورة شخص بهدف البحث عنه والوصول إلى حساباته على شبكات التواصل الاجتماعي ومعلومات أخرى قد تساعد في تحديد هويته.
وهذا يعني أن الشخص الظاهر في الصورة ربما لم يزر الموقع أو يستخدم خدماته مطلقًا.
وقال فاولر إن بعض الصور بدت مأخوذة من شبكات التواصل الاجتماعي وملفات المواعدة ولقطات الشاشة والصور الفوتوغرافية، ما يثير احتمال أن أصحاب تلك الصور لم يكونوا على علم بتخزين وجوههم داخل قاعدة البيانات.
كما أشار إلى العثور على ملفات تحمل طوابع زمنية تتجاوز فترة الاحتفاظ بالصور المعلنة من الشركة، والبالغة 14 يومًا.
الشركة تعترض على وصف البيانات بأنها مكشوفة
وفي بيان لمجلة «WIRED»، اعترضت «ClarityCheck» على وصف قاعدة البيانات بأنها مكشوفة للعامة، موضحة أن الوصول إليها كان يتطلب عنوان URL محددًا وغير مفهرس.
إلا أن الملفات نفسها لم تكن محمية بكلمة مرور، كما أن الباحث الأمني تمكن من العثور على عنوان URL من خلال شفرة برمجية متاحة على موقع الشركة.
ولا توجد أدلة حتى الآن على أن جهة خبيثة وصلت إلى قاعدة البيانات قبل تأمينها.
خلل أمني آخر يكشف بيانات شخصية
ووفق تقارير منفصلة، واجهت «ClarityCheck» مشكلة أمنية أخرى مرتبطة بواجهات برمجة التطبيقات الخاصة بخدمتها.
وكان من الممكن، عبر التلاعب ببعض عناوين URL وإدخال اسم شخص، الكشف عن عناوين بريد إلكتروني وأرقام هواتف وعناوين سكن محتملة من دون الحاجة إلى صلاحيات خاصة.
ولم تشر التقارير إلى وجود رابط مباشر بين هذه البيانات التعريفية والصور الموجودة في قاعدة البيانات.
مخاطر تتجاوز الخصوصية
ويمثل تخزين صور أشخاص في قاعدة بيانات غير محمية، خصوصًا عندما يكون بعض أصحابها قد لا يعرفون أصلًا بوجودها، مشكلة كبيرة تتعلق بالخصوصية.
وتزداد المخاوف مع الانتشار الواسع لتقنيات الذكاء الاصطناعي القادرة على استغلال صور الوجوه في انتحال الهوية، وإنشاء حسابات مزيفة، وتنفيذ عمليات احتيال أكثر إقناعًا.