Wyciek danych na ogromną skalę po raz kolejny pokazuje, jak krucha potrafi być cyfrowa prywatność. Tym razem problem dotyczy serwisu do wyszukiwania obrazem i weryfikacji tożsamości, w którym przypadkowo wystawiono do internetu miliony zdjęć twarzy. Skala incydentu jest tak duża, że może mieć konsekwencje nie tylko dla dorosłych użytkowników, ale także dla dzieci i nastolatków, których fotografie również znalazły się w ujawnionej bazie.
Co dokładnie wyciekło
Badacz bezpieczeństwa Jeremiah Fowler natrafił na publicznie dostępny zbiór danych o wielkości 450,2 GB. W środku znajdowało się ponad 9 milionów plików graficznych, a dokładniej 9 042 977 obrazów. Były to między innymi zdjęcia profilowe, zrzuty ekranu oraz skany fizycznych fotografii przesyłanych przez użytkowników.
Pliki przechowywano w katalogach opisanych jako „faces” i „profiles”. Taki układ sugeruje, że baza służyła do identyfikacji osób na podstawie fotografii, co samo w sobie nie jest niczym niezwykłym. Problem polega na tym, że dane te były dostępne bez odpowiedniej ochrony.
To jeden z tych przypadków, które pokazują, jak łatwo wygoda może przysłonić bezpieczeństwo. Gdy w grę wchodzą zdjęcia twarzy, ryzyko rośnie bardziej niż przy zwykłych danych kontaktowych. Właśnie dlatego konfiguracja dostępu do baz danych powinna być sprawdzana równie skrupulatnie jak sam produkt.
Czym zajmuje się ClarityCheck
Ujawniona baza należała do firmy ClarityCheck, która działa w USA i oferuje narzędzia do wyszukiwania po numerze telefonu, e-mailu, obrazie czy nawet po pojeździe. Serwis deklaruje, że pomaga w weryfikowaniu kontaktów, rozpoznawaniu nieznanych osób i sprawdzaniu informacji na podstawie publicznie dostępnych źródeł.
Tego typu usługi zyskują na znaczeniu wraz ze wzrostem liczby oszustw internetowych. Cyberprzestępcy tworzą fałszywe tożsamości, kradną cudze zdjęcia albo generują twarze przy pomocy AI. Dlatego narzędzia pomagające w sprawdzaniu wiarygodności mogą być naprawdę przydatne.
Zobacz także: Tether wprowadza aplikację zdrowotną z naciskiem na prywatność w obliczu przyspieszonej ekspansji w AI.
Dlaczego ten wyciek jest groźny
Wrażliwe zdjęcia twarzy to nie tylko kolejny wyciek danych. Takie materiały mogą posłużyć do kradzieży tożsamości, phishingu, oszustw romantycznych czy tworzenia fałszywych profili. Jeśli w bazie faktycznie znajdowały się zdjęcia dzieci i młodzieży, ryzyko staje się jeszcze poważniejsze.
W praktyce zdjęcie twarzy może zostać wykorzystane do podszywania się pod konkretną osobę w wielu kanałach komunikacji. Atakujący mogą też łączyć je z innymi danymi, aby tworzyć bardziej przekonujące scenariusze oszustw. To pokazuje, że nawet pojedynczy obraz może być cennym elementem w rękach przestępców.
Jak zareagowała firma
Po ustaleniu właściciela bazy Fowler zgłosił sprawę odpowiedzialnie bezpośrednio do ClarityCheck. Firma szybko zabezpieczyła dostęp do danych i podziękowała badaczowi za informację. W oficjalnej odpowiedzi podkreślono, że organizacja rozumie ryzyko związane z ujawnieniem wrażliwych zdjęć i dziękuje za etyczne zgłoszenie problemu.
Nie wiadomo jednak, jak długo baza pozostawała otwarta ani czy ktoś zdążył pobrać dane przed zabezpieczeniem. Na ten moment nie ma też dowodów, że informacje trafiły na dark web lub były tam sprzedawane. To może być pewnym uspokojeniem, ale nie zmienia faktu, że incydent był bardzo poważny.
Skąd biorą się takie wycieki
Najczęstszą przyczyną podobnych zdarzeń są źle skonfigurowane bazy danych w chmurze. Coraz więcej firm przechowuje tam informacje o klientach, partnerach i pracownikach, bo to wygodne i łatwe do integracji z systemami biznesowymi. Problem zaczyna się wtedy, gdy dostęp do takiej bazy nie jest odpowiednio ograniczony.
W modelu współdzielonej odpowiedzialności dostawca chmury odpowiada za bezpieczeństwo infrastruktury, ale użytkownik musi poprawnie skonfigurować własne zasoby. Oznacza to m.in. silne hasła, szyfrowanie i zamknięcie dostępu publicznego. Niestety wiele organizacji zakłada błędnie, że cała odpowiedzialność spoczywa na dostawcy usługi.
Jak cyberprzestępcy wyszukują takie dane
Przestępcy bardzo często korzystają z ogólnodostępnych narzędzi do przeszukiwania internetu, takich jak Shodan, Censys czy FOFA. Dzięki nim mogą szybko znaleźć niezabezpieczone, publicznie dostępne bazy danych. Wystarczy jeden błąd konfiguracyjny, by setki gigabajtów informacji znalazły się na widoku.
Potem takie dane mogą zostać użyte do phishingu, przejęcia kont, oszustw biznesowych czy kampanii podszywania się pod inne osoby. To właśnie dlatego wycieki z pozoru „zwykłych” baz bywają tak niebezpieczne. W praktyce dają napastnikom gotowy materiał do kolejnych ataków.
To nie pierwszy taki przypadek
Podobne incydenty pojawiają się regularnie. W ostatnich latach badacze wielokrotnie odkrywali ogromne, niezabezpieczone zbiory danych należące do różnych firm. Czasem chodziło o rekordy klientów, czasem o dane pracowników, a czasem o całe archiwa wrażliwych plików.
To pokazuje, że problem nie dotyczy jednej organizacji, ale jest szerszym zjawiskiem w świecie usług chmurowych. Im więcej firm przenosi dane do internetu, tym większe znaczenie ma podstawowa higiena bezpieczeństwa. Bez niej nawet nowoczesne narzędzia mogą stać się źródłem zagrożenia.
Dlaczego warto zwracać na to uwagę
Ten przypadek jest dobrym przypomnieniem, że ochrona danych osobowych nie kończy się na hasłach i antywirusie. Równie ważne jest to, gdzie trafiają nasze zdjęcia, dokumenty i inne pliki oraz kto ma do nich dostęp. W erze cyfrowej nawet serwis, który ma pomagać w weryfikacji tożsamości, może stać się źródłem ryzyka.
Dla użytkowników oznacza to potrzebę większej ostrożności przy udostępnianiu zdjęć i dokumentów online. Dla firm to z kolei sygnał, że konfiguracja chmury musi być traktowana priorytetowo. Jeden błąd może bowiem narazić miliony osób na bardzo realne konsekwencje.
Znowu mamy do czynienia z poważnym wyciekiem. Nie rozumiem, jak firmy mogą nie zabezpieczać danych w tak rażący sposób. 9 milionów zdjęć? To nie tylko kwestia samej prywatności, ale również bezpieczeństwa. Jakim cudem takie bazy były dostępne publicznie? Ktoś tu powinien ponieść konsekwencje.
Ciekawe, dlaczego jeszcze nikt nie wszczął śledztwa w tej sprawie. Wyciek tak ogromnej bazy danych to przecież coś, co powinno zainteresować odpowiednie służby. Teoretycznie ClarityCheck powinno mieć lepsze zabezpieczenia. Cyberprzestępcy muszą mieć teraz raj na ziemi. Obawiam się, że to nie koniec takich incydentów.
Osobiście uważam, że te usługi weryfikacji tożsamości są dość kontrowersyjne. Owszem, pomagają w walce z oszustwami, ale przekazując zdjęcia, ryzykujemy o wiele więcej niż myślimy. W efekcie dostajemy narzędzie, które może być wykorzystane przeciwko nam. To, co stało się z danymi twarzy, jest idealnym przykładem na to, jak szybko coś może pójść nie tak.
Mam to zatrzaskana bazę, w której przechowują zdjęcia dzieci? To powinno być nie do pomyślenia! Firmy muszą w końcu zrozumieć, że to, co robią, ma realne konsekwencje dla zwykłych ludzi. Mamy prawo do prywatności, a taka sytuacja tylko pokazuje, jak łatwo tę prywatność stracić.
Od lat mówię, żeby ludzie bardziej dbali o swoje dane w sieci. Nie ma co ufać na 100% żadnej firmie, nawet tym, które brzmią „ekskluzywnie” i „bezpiecznie”. Po ostatnich wyciekach zrozumiałam, że lepiej nie wrzucać niczego do sieci bez namysłu. Wygląda na to, że każdy może paść ofiarą takich incydentów, nasza cyfrowa prywatność to iluzja.