Φωτογραφίες ενηλίκων και παιδιών σε εκτεθειμένο cloud της ClarityCheck

Σύνοψη

• Εντοπίστηκαν 9.042.977 αρχεία εικόνων συνολικού όγκου 450,2 GB
• Η βάση συνδεόταν με την υπηρεσία ClarityCheck και βρισκόταν σε Amazon S3 storage
• Στο δείγμα υπήρχαν φωτογραφίες ενηλίκων, εφήβων και παιδιών
• Τα 9 εκατ. αρχεία δεν σημαίνουν 9 εκατ. διαφορετικούς ανθρώπους
• Δεν υπάρχει απόδειξη ότι τρίτοι κατέβασαν ή αξιοποίησαν τα δεδομένα
• Η ClarityCheck έχει πλέον περιορίσει την πρόσβαση
• Η σημερινή ευρωπαϊκή πολιτική της προβλέπει έως επτά ημέρες διατήρησης για reverse-image uploads

Περισσότερα από 9 εκατομμύρια αρχεία εικόνων, πολλά με πρόσωπα ενηλίκων, εφήβων και παιδιών, εντοπίστηκαν σε απροστάτευτο cloud storage που συνδεόταν με την υπηρεσία αναζήτησης προσώπων και στοιχείων ClarityCheck.

Ο ερευνητής κυβερνοασφάλειας Jeremiah Fowler εντόπισε βάση δεδομένων με 9.042.977 αρχεία και συνολικό μέγεθος 450,2 GB, η οποία δεν απαιτούσε κωδικό πρόσβασης ή άλλη μορφή authentication. Τα δεδομένα βρίσκονταν σε Amazon S3 bucket και περιλάμβαναν profile images, screenshots και άλλες φωτογραφίες, με φακέλους που έφεραν ονομασίες όπως «faces» και «profiles».

Η υπόθεση έχει ιδιαίτερη σημασία επειδή μια φωτογραφία προσώπου δεν είναι απλώς ακόμη ένα αρχείο που μπορεί να αντικατασταθεί μετά από μια διαρροή. Μπορεί να χρησιμοποιηθεί για αναζήτηση, αντιστοίχιση και πιθανή σύνδεση ενός πραγματικού ανθρώπου με άλλες δημόσιες πληροφορίες, ενώ παραμένει άγνωστο αν τρίτοι απέκτησαν ή κατέβασαν τα συγκεκριμένα αρχεία.

Τι ακριβώς βρήκε ο ερευνητής

Σύμφωνα με την αναφορά του Fowler, η βάση ήταν δημόσια προσβάσιμη μέσω διαδικτύου χωρίς password protection ή encryption και περιείχε ακριβώς 9.042.977 αρχεία εικόνων, συνολικού όγκου 450,2 GB. Σε περιορισμένο δείγμα που εξέτασε, ο ερευνητής είδε εικόνες ενηλίκων, εφήβων και παιδιών, μεταξύ άλλων φωτογραφίες προφίλ, screenshots και φωτογραφίες που φαίνονταν να έχουν δοθεί για reverse image searches ή άλλες σχετικές λειτουργίες.

Ο Fowler συνέδεσε τα αρχεία με την αμερικανική ClarityCheck μέσω στοιχείων στον πηγαίο κώδικα της ιστοσελίδας, όπου, σύμφωνα με την έρευνά του, υπήρχε η διεύθυνση του cloud storage. Δεν έχει επιβεβαιωθεί αν το bucket διαχειριζόταν απευθείας η ClarityCheck ή κάποιος εξωτερικός συνεργάτης.

Ένα κρίσιμο σημείο είναι ότι τα «9 εκατομμύρια» δεν αντιστοιχούν απαραίτητα σε 9 εκατομμύρια διαφορετικούς ανθρώπους. Η ίδια η ClarityCheck δήλωσε στο WIRED ότι στα αρχεία περιλαμβάνονταν αντίγραφα, cropped και resized εκδόσεις των ίδιων εικόνων, επομένως ο πραγματικός αριθμός των μοναδικών προσώπων παραμένει άγνωστος.

Πώς συνδέεται η βάση με το ClarityCheck

Η ClarityCheck λειτουργεί ως υπηρεσία people search και reverse lookup. Προσφέρει αναζητήσεις με στοιχεία όπως όνομα, email, αριθμό τηλεφώνου, VIN και φωτογραφίες, συγκεντρώνοντας πληροφορίες από δημόσιες πηγές και άλλους παρόχους δεδομένων.

Στη λειτουργία reverse image search ο χρήστης μπορεί να ανεβάσει μια φωτογραφία ώστε η υπηρεσία να αναζητήσει σχετικές εμφανίσεις της εικόνας ή πληροφορίες στο διαδίκτυο. Η ClarityCheck αναφέρει σήμερα στην πολιτική απορρήτου για ΕΕ και Ηνωμένο Βασίλειο ότι ο χρήστης πρέπει να είναι τουλάχιστον 18 ετών και να είναι κάτοχος της εικόνας, να απεικονίζεται σε αυτήν ή να διαθέτει τα απαραίτητα δικαιώματα και άδειες για να την υποβάλει.

Αυτό όμως δεν σημαίνει απαραίτητα ότι κάθε άνθρωπος που εμφανίζεται σε μία φωτογραφία γνωρίζει πως η εικόνα του έχει ανέβει σε μια τέτοια υπηρεσία. Ο Fowler επισήμανε ότι κάποιες εικόνες μπορεί να προέρχονται από social media, dating profiles, screenshots ή ακόμη και φωτογραφίες που ανέβασαν τρίτα πρόσωπα.

Τι λέει η ClarityCheck για την «έκθεση» των δεδομένων

Η εταιρεία αμφισβήτησε τον χαρακτηρισμό ότι η βάση ήταν δημόσια εκτεθειμένη με την έννοια της εύκολης πρόσβασης από το ευρύ κοινό. Σε δήλωσή της στο WIRED υποστήριξε ότι χρειαζόταν γνώση συγκεκριμένου, μη καταχωρημένου URL, το οποίο δεν ήταν εύκολο να βρεθεί μέσω της κανονικής χρήσης της υπηρεσίας ή μιας γενικής web search.

Ο Fowler, από την άλλη, αναφέρει ότι δεν απαιτούνταν password ή authentication και ότι η βάση ήταν προσβάσιμη σε οποιονδήποτε γνώριζε τη διεύθυνσή της. Το γεγονός ότι ένα URL δεν εμφανίζεται στις μηχανές αναζήτησης δεν αποτελεί από μόνο του μηχανισμό ελέγχου πρόσβασης.

Η βάση έχει πλέον περιοριστεί. Σύμφωνα με το WIRED, η πρόσβαση έκλεισε αφού το μέσο επικοινώνησε με την εταιρεία τον Ιούλιο, ενώ η ClarityCheck δήλωσε επίσης ότι βελτίωσε τις διαδικασίες μέσω των οποίων οι security researchers μπορούν να αναφέρουν προβλήματα.

Δεν υπάρχει απόδειξη ότι τα αρχεία κλάπηκαν

Μέχρι στιγμής δεν υπάρχει δημόσιο στοιχείο που να δείχνει ότι κακόβουλοι τρίτοι κατέβασαν τη βάση ή χρησιμοποίησαν τις φωτογραφίες.

Ο ίδιος ο Fowler είναι προσεκτικός σε αυτό το σημείο: δεν ισχυρίζεται ότι τα αρχεία προσπελάστηκαν από τρίτους ούτε ότι πραγματοποιήθηκε παραβίαση εσωτερικών συστημάτων της ClarityCheck. Η έρευνά του τεκμηριώνει έκθεση δεδομένων και τους πιθανούς κινδύνους που αυτή δημιουργεί, όχι επιβεβαιωμένη κλοπή εννέα εκατομμυρίων φωτογραφιών.

Αυτός είναι και ο λόγος που ο όρος «data exposure» είναι ακριβέστερος από μια βεβαιότητα περί «hack»: τα δεδομένα ήταν διαθέσιμα χωρίς τον αναμενόμενο έλεγχο πρόσβασης, αλλά δεν έχει αποδειχθεί exfiltration.

Υπήρχε και δεύτερο πρόβλημα με προσωπικά στοιχεία

Η έρευνα του WIRED αποκάλυψε και διαφορετική λανθασμένη ρύθμιση στα APIs της ClarityCheck.

Με κατάλληλη τροποποίηση URLs μπορούσαν να εμφανιστούν αποτελέσματα για ονόματα τα οποία περιλάμβαναν πιθανά email addresses, φυσικές διευθύνσεις και αριθμούς τηλεφώνου. Η εταιρεία δήλωσε ότι αυτές οι πληροφορίες προέρχονταν από δημόσια διαθέσιμες πηγές και αδειοδοτημένους τρίτους παρόχους δεδομένων. Τα συγκεκριμένα URLs ασφαλίστηκαν επίσης μετά την επικοινωνία του WIRED.

Η συνύπαρξη μιας φωτογραφίας με πρόσθετα προσωπικά στοιχεία είναι αυτή που μπορεί να αυξήσει σημαντικά τον κίνδυνο κατάχρησης: από πλαστά social media profiles και impersonation έως πιο πειστικά phishing ή social-engineering σενάρια.

Το PTTL έχει πρόσφατα καταγράψει έναν διαφορετικό τρόπο με τον οποίο μια φαινομενικά απλή φωτογραφία μπορεί να μετατραπεί σε πηγή προσωπικών πληροφοριών: έρευνα για το πώς οι φωτογραφίες διακοπών μπορούν να χρησιμοποιηθούν για γεωεντοπισμό και πιο πειστικές απάτες.

Το πρόβλημα με τις φωτογραφίες προσώπου

Η διαρροή ενός password μπορεί να αντιμετωπιστεί με αλλαγή του. Το ίδιο δεν ισχύει για το πρόσωπο ενός ανθρώπου.

Ο Fowler σημειώνει ότι μεγάλα σύνολα εικόνων ενδέχεται θεωρητικά να αποκτήσουν πρόσθετη αξία όσο εξελίσσονται τα συστήματα AI, face matching και automated identification. Αυτό δεν σημαίνει ότι τα αρχεία της ClarityCheck χρησιμοποιήθηκαν πράγματι για εκπαίδευση AI ή για surveillance· δεν υπάρχει τέτοια απόδειξη στην έρευνα.

Η ίδια η ClarityCheck αναφέρει στην τρέχουσα ευρωπαϊκή πολιτική απορρήτου της ότι δεν δημιουργεί ή διατηρεί proprietary facial-image index ή βάση biometric profiles και ότι εικόνες που ανεβαίνουν αποκλειστικά για reverse image search δεν χρησιμοποιούνται για AI model training χωρίς ξεχωριστή ρητή συγκατάθεση.

Η πολιτική διατήρησης έχει πλέον όριο επτά ημερών στην Ευρώπη

Υπάρχει μια ενδιαφέρουσα αλλαγή σε σχέση με όσα κατέγραψε ο Fowler κατά την έρευνά του.

Στην αναφορά του, ο ερευνητής αναφέρει ότι οι τότε όροι της ClarityCheck μιλούσαν για διατήρηση των εικόνων για 14 ημέρες και ότι είχε παρατηρήσει αρχεία με timestamps παλαιότερα από αυτό το διάστημα.

Η τρέχουσα Privacy Policy της ClarityCheck για χρήστες στην ΕΕ και στο Ηνωμένο Βασίλειο, όπως είναι διαθέσιμη στις 27 Αυγούστου 2026, αναφέρει πλέον ότι οι εικόνες reverse image lookup, τα σχετικά προσωρινά αρχεία επεξεργασίας και τα report-cache assets διατηρούνται για έως επτά ημέρες και στη συνέχεια διαγράφονται από τα ενεργά συστήματα εντός εύλογου χρονικού διαστήματος, με ορισμένες εξαιρέσεις για θέματα ασφαλείας, backups ή νομικές υποχρεώσεις.

Τι ισχύει στην Ευρώπη για τις εικόνες προσώπου

Στον GDPR, μια σημαντική νομική λεπτομέρεια είναι ότι κάθε απλή φωτογραφία προσώπου δεν θεωρείται αυτομάτως «βιομετρικό δεδομένο» ειδικής κατηγορίας.

Ο κανονισμός ορίζει ως βιομετρικά δεδομένα εκείνα τα προσωπικά δεδομένα που προκύπτουν από ειδική τεχνική επεξεργασία φυσικών, φυσιολογικών ή συμπεριφορικών χαρακτηριστικών και επιτρέπουν ή επιβεβαιώνουν τη μοναδική ταυτοποίηση ενός ανθρώπου, αναφέροντας ρητά ως παράδειγμα τις εικόνες προσώπου.

Με άλλα λόγια, ο τρόπος με τον οποίο μια φωτογραφία επεξεργάζεται και χρησιμοποιείται είναι κρίσιμος για τον νομικό χαρακτηρισμό της.

Το European Data Protection Board έχει επανειλημμένα τονίσει ότι τα βιομετρικά δεδομένα είναι ιδιαίτερα ευαίσθητα και ότι η κατάχρησή τους μπορεί να οδηγήσει μεταξύ άλλων σε identity fraud ή impersonation.

Η Ευρώπη έχει ήδη αντιμετωπίσει παρόμοιες εντάσεις γύρω από τεράστιες συλλογές εικόνων και αναγνώριση προσώπου. Το PTTL είχε καλύψει και την εντολή της γαλλικής CNIL προς την Clearview AI για διαγραφή βιομετρικών δεδομένων που είχαν συλλεχθεί από εικόνες στο διαδίκτυο.

Τι πιστεύουμε

Η πιο σημαντική λεπτομέρεια στην υπόθεση δεν είναι μόνο ο εντυπωσιακός αριθμός των 9.042.977 αρχείων, αλλά το είδος τους και ο τρόπος με τον οποίο μπορούσαν να συσχετιστούν με ανθρώπους.

Δεν έχει αποδειχθεί ότι εννέα εκατομμύρια διαφορετικά άτομα επηρεάστηκαν, ούτε ότι κάποιος κατέβασε κακόβουλα τη βάση. Αυτές οι δύο διακρίσεις είναι απαραίτητες για να μην παρουσιαστεί η υπόθεση ως κάτι περισσότερο από ό,τι έχει τεκμηριωθεί.

Παράλληλα, όμως, μια υπηρεσία που επεξεργάζεται φωτογραφίες με σκοπό την αναζήτηση ανθρώπων οφείλει να αντιμετωπίζει τέτοιο υλικό με πολύ υψηλότερο επίπεδο προστασίας από ένα συνηθισμένο αρχείο. Η συγκεκριμένη περίπτωση δείχνει πόσο εύκολα η αξία μιας φωτογραφίας αλλάζει όταν συνδυάζεται με reverse lookup, δημόσιες πηγές και αυτοματοποιημένα εργαλεία αναζήτησης.

Συχνές ερωτήσεις

Εκτέθηκαν φωτογραφίες 9 εκατομμυρίων διαφορετικών ανθρώπων;

Δεν έχει επιβεβαιωθεί. Βρέθηκαν 9.042.977 αρχεία εικόνων, αλλά η ClarityCheck αναφέρει ότι υπήρχαν duplicates, cropped και resized εκδόσεις των ίδιων αρχείων. Ο αριθμός των μοναδικών προσώπων είναι άγνωστος.

Υπάρχει απόδειξη ότι hackers κατέβασαν τη βάση;

Όχι. Ο Jeremiah Fowler αναφέρει ότι δεν γνωρίζει αν τρίτοι απέκτησαν πρόσβαση ή κατέβασαν τα δεδομένα. Για να διαπιστωθεί κάτι τέτοιο θα απαιτούνταν εσωτερική forensic investigation.

Υπήρχαν φωτογραφίες παιδιών;

Ναι. Ο Fowler αναφέρει ότι στο περιορισμένο δείγμα που εξέτασε βρήκε εικόνες ενηλίκων, εφήβων και παιδιών.

Η βάση παραμένει σήμερα ανοιχτή;

Όχι σύμφωνα με τις διαθέσιμες πληροφορίες. Η πρόσβαση στο συγκεκριμένο storage έχει περιοριστεί.

Η ClarityCheck κρατά σήμερα τις εικόνες για 14 ημέρες;

Η τρέχουσα πολιτική απορρήτου της για χρήστες ΕΕ και Ηνωμένου Βασιλείου αναφέρει ανώτατη περίοδο επτά ημερών για uploaded reverse-image files και τα σχετικά προσωρινά assets.

Excerpt

Περισσότερα από 9 εκατομμύρια αρχεία εικόνων συνολικού όγκου 450,2 GB βρέθηκαν σε απροστάτευτο cloud storage που συνδεόταν με την ClarityCheck. Δεν έχει αποδειχθεί ότι τα δεδομένα κλάπηκαν ούτε ότι αντιστοιχούν σε 9 εκατ. διαφορετικούς ανθρώπους.