Le chercheur Jeremiah Fowler a découvert une base de données en nuage contenant plus de 9 millions de fichiers image accessibles sans authentification, rapporte WIRED .
Le fichier contenant quelque 450 Go d'images, présentant des fuites , a été retracé jusqu'à une société américaine appelée ClarityCheck.
ClarityCheck déclare, selon ses propres termes :
« Utilisez la recherche d'images inversée pour identifier n'importe qui sur une photo. Trouvez des noms, des profils sur les réseaux sociaux et une présence en ligne en quelques secondes. »
Bien que ClarityCheck affirme ne pas utiliser la reconnaissance faciale, elle décrit sa fonction d'imagerie comme un moyen d'identifier les personnes et de trouver leurs noms et leurs profils sur les réseaux sociaux.
Certes, il y a une différence.
- Une recherche d'images permet de trouver des images identiques ou visuellement similaires, souvent en utilisant des intégrations d'images, des métadonnées ou des pages indexées.
- La reconnaissance faciale détecte un visage, en extrait les caractéristiques spécifiques et les compare à une collection structurée d'images numériques indexées par visage.
Mais cette différence a-t-elle une importance lorsque votre visage est téléchargé et stocké dans un environnement cloud non sécurisé ?
Il est important de rappeler ici que les visages sont des identifiants persistants. Un mot de passe divulgué peut être réinitialisé, alors qu'une personne ne peut pas facilement remplacer son visage. Lorsqu'une image est associée à un nom, un profil sur les réseaux sociaux, une adresse, un courriel ou un numéro de téléphone, ces informations peuvent être utilisées à mauvais escient pour usurper l'identité d'une personne, commettre des attaques d'hameçonnage ciblées, divulguer des informations personnelles (doxxing), ou… catfishing .
ClarityCheck a contesté que les données aient été exposées publiquement, car leur accès nécessitait une URL non indexée. Cependant, les images ne requéraient aucune authentification, et Fowler a pu découvrir les URL grâce au code du site.
On ignore combien de temps le compartiment est resté exposé avant que Fowler ne le découvre. Malgré des alertes antérieures de Fowler, ClarityCheck n'a restreint l'accès à la base de données qu'après que WIRED ait contacté le service en juillet.
outils de recherche de personnes
Les outils de recherche de personnes sont des services en ligne qui regroupent les données publiques, les données de contact et les traces numériques pour aider à localiser des individus à partir de leurs noms, numéros de téléphone, adresses électroniques ou adresses postales.
Si vous souhaitez vérifier si une personne sur les réseaux sociaux utilise une fausse photo de profil ou une photo volée, car vous craignez qu'il s'agisse d'une arnaque, une recherche d'image inversée classique vous permettra de voir où cette photo apparaît ailleurs en ligne. Vous n'avez pas besoin d'un outil de recherche de personnes.
ClarityCheck, comme beaucoup d'autres applications similaires, exige que les utilisateurs confirment être propriétaires de l'image, y apparaître ou disposer des droits et autorisations nécessaires pour la télécharger. Bien entendu, une case à cocher ne peut empêcher un mensonge.
Voici quelques conseils à donner aux personnes qui utilisent ClarityCheck ou des outils similaires :
- Ne téléchargez pas la photo d'une autre personne sans son autorisation ou sans autre droit légal clair de le faire.
- Réfléchissez-y à deux fois avant de télécharger votre propre photo si vous n'êtes pas sûr de son utilisation, de sa durée de conservation et du niveau de sécurité de ce stockage.
- Avant d'utiliser un service, vérifiez ses politiques concernant la conservation, la suppression, l'utilisation pour l'entraînement de modèles d'IA, le stockage, le partage avec des tiers et la suppression des images.
- Si vous vous retrouvez dans un résultat de recherche, sauvegardez l'URL et les captures d'écran, demandez votre désinscription du service de recherche et sollicitez la suppression de l'image du site ou de la plateforme d'origine qui l'héberge.
Les escrocs n'ont pas besoin de pirater votre ordinateur. Il leur suffit que vous cliquiez une seule fois.
Theft Identity Malwarebytes détecte les activités suspectes avant qu'elles ne posent problème.
