Serviço de pesquisa de pessoas expõe milhões de fotos de rostos

“A tua pesquisa por imagem é privada e segura.” Esta é a promessa da ClarityCheck, um serviço online de pesquisa de pessoas. Na prática, um investigador encontrou mais de 9 milhões de ficheiros de imagem, muitos com rostos de adultos, adolescentes e crianças, expostos num bucket da Amazon S3 sem qualquer autenticação. Bastava saber o URL certo.

O caso foi revelado pelo investigador independente Jeremiah Fowler, em trabalho publicado com a ExpressVPN. Segundo o relatório, estavam acessíveis cerca de 450 GB de imagens, com pastas chamadas “faces” e “profiles”. Não era um leak obscuro na dark web, era armazenamento em nuvem mal configurado. O link para o bucket estava visível no próprio código público do site. ClarityCheck vende-se como ferramenta para “identificar qualquer pessoa numa foto” e cruzar dados com redes sociais, números de telefone, emails, matrículas e nomes. É o típico serviço de people-finder que prolifera online, a meio caminho entre o OSINT amador e o mercado cinzento de dados pessoais.

Depois de contactada pela WIRED, a empresa fechou o acesso ao bucket e agradeceu a Fowler. Mas recusa a ideia de que os dados estavam “expostos”. Argumenta que um “membro do público” não encontraria o URL por acaso e que, por isso, não houve acesso em larga escala. Isto entra em choque com a definição usada pela própria indústria de segurança e por entidades como a CISA norte-americana: se dados sensíveis estão acessíveis na internet sem autenticação, estão expostos, mesmo que ninguém prove que os descarregou. Fingir que um URL “secreto” é equivalente a segurança é o tipo de racionalização que se espera de uma PME distraída, não de quem lida profissionalmente com dados sensíveis.

Há um detalhe que muda o peso deste caso: não estamos a falar só de emails ou moradas. São rostos. Dados biométricos que não se trocam como uma password. Fowler sublinha o óbvio: quem apareceu nessas imagens provavelmente nunca ouviu falar da ClarityCheck. O serviço é feito para identificar terceiros, não para auto-consulta. Alguém faz upload de uma foto onde tu apareces, a empresa guarda cópias recortadas e redimensionadas, e o teu rosto passa a viver num bucket público sem que tenhas qualquer noção. Em 2024, com modelos de IA a serem treinados em tudo o que encontram, um repositório destes é ouro para quem quer extrair faces em massa, como já vimos em casos em que plataformas usaram conteúdos de utilizadores para treinar IA sem aviso claro, como no uso de anos de streams da Twitch pela Amazon.

O desastre não ficava pelas imagens. A ClarityCheck tinha também APIs mal configuradas, que permitiam manipular URLs para obter dados sobre pessoas a partir de um simples nome. Qualquer pessoa num browser normal podia introduzir um nome e receber uma lista de emails, endereços físicos e números de telefone associados. A empresa diz que essa informação vinha de fontes públicas e de fornecedores licenciados. A justificação é fraca: o problema não é a origem, é a forma como se empacota e expõe essa informação, ligando identidades, contactos e agora rostos num só sítio, pronto a ser raspado.

Para quem vive na União Europeia, isto é precisamente o tipo de serviço que vive nos limites do RGPD. Não é por acaso que gigantes como a Google e a Meta levam multas pela forma como colecionam e reciclam dados, enquanto pequenos brokers de dados conseguem operar com pouca fiscalização. As frases de marketing sobre privacidade são baratas, o que conta é o desenho técnico e jurídico do serviço. A ClarityCheck já fechou o buraco que Fowler encontrou. O problema é que há dezenas de serviços semelhantes, com buckets parecidos, a guardar rostos que nunca aceitaram estar ali.

Fonte: Wired