WIRED誌の報道によると、研究者のジェレマイア・ファウラー氏は、認証なしでアクセスできる900万以上の画像ファイルを含むクラウドデータベースを発見した。
約450GBの画像が保存されていた問題のバケツは、ClarityCheckという米国登録企業にたどり着いた。
ClarityCheckは、自らの言葉で次のように述べています。
「画像検索機能を使えば、写真に写っている人物を特定できます。名前、ソーシャルメディアのプロフィール、オンライン上の活動状況を数秒で調べられます。」
ClarityCheckは顔認識技術を使用していないと述べているものの、画像機能は人物を特定し、その名前やソーシャルメディアのプロフィールを見つけるための手段だと説明している。
確かに、違いはある。
- 画像検索は、画像埋め込み、メタデータ、またはインデックス化されたページなどを利用して、同一または視覚的に類似した画像を検索します。
- 顔認識は、顔を検出し、顔固有の特徴を抽出し、構造化された顔インデックス付きデジタル画像コレクションと比較する。
しかし、あなたの顔が安全性の低いクラウド環境にアップロードされ保存される場合、その違いは重要になるのでしょうか？
ここで重要なのは、顔は永続的な識別子であるということです。漏洩したパスワードはリセットできますが、人は自分の顔を簡単に変えることはできません。誰かの画像が名前、ソーシャルプロフィール、住所、メール、電話番号と関連付けられると、その情報はなりすまし、標的型フィッシング、ドクシング、またはcatfishing 。
ClarityCheckは、データへのアクセスにはインデックス化されていないURLが必要だったため、データが公開されたという主張に異議を唱えた。しかし、画像には認証が不要であり、ファウラーはサイトのコードからURLを発見することができた。
ファウラー氏が発見するまで、このバケツがどれくらいの期間放置されていたかは不明である。ファウラー氏からの事前の警告にもかかわらず、WIREDが7月にClarityCheckに連絡を取るまで、ClarityCheckはデータベースへのアクセスを制限していなかった。
人物検索ツール
人物検索ツールとは、氏名、電話番号、メールアドレス、住所などを使って個人を特定できるよう、公的記録、連絡先データ、ソーシャルメディア上の情報などを集約するオンラインサービスです。
ソーシャルメディア上で誰かが偽物や盗用したプロフィール写真を使っているかどうか、つまり詐欺師かもしれないと心配な場合は、一般的な画像検索を使えば、その写真がオンライン上のどこに掲載されているかを確認できます。人物検索ツールは必要ありません。
ClarityCheckをはじめとする多くの類似サービスは、ユーザーが画像の所有者であること、画像に写っていること、またはアップロードに必要な権利と許可を有していることを確認することを求めている。もちろん、チェックボックスだけでは嘘をつくことを防ぐことはできない。
ClarityCheckや類似ツールを使用する方々に、いくつかアドバイスをしたいと思います。
- 他人の写真をアップロードする場合は、本人の許可を得ている場合、または明確な法的権利を有している場合に限ります。
- 自分の写真がどのように使用されるのか、どのくらいの期間保存されるのか、そしてその保存場所がどれほど安全なのかがわからない場合は、アップロードする前に慎重に検討してください。
- サービスを利用する前に、画像の保持、削除、AIモデルのトレーニングへの利用、ストレージ、第三者との共有、および画像の削除に関するポリシーを確認してください。
- 検索結果に自分の画像が表示された場合は、URLとスクリーンショットを保存し、検索サービスから削除を依頼するとともに、画像が掲載されている元のサイトまたはプラットフォームからも削除を求めてください。
詐欺師はあなたの端末をハッキングする必要はありません。あなたが一度クリックするだけでいいのです。
Malwarebytes Identity Theft 、不審な動きが問題となる前に検知します。
