Un solo enlace abierto en el código fuente de la página de ClarityCheck dejó al descubierto fotos de 9 millones de rostros

El servicio de búsqueda de personas ClarityCheck prometía a los usuarios una verificación privada y segura de fotografías; sin embargo, más de 9 millones de archivos con rostros de adultos y niños estuvieron disponibles en internet sin contraseña.

El problema fue descubierto por el especialista en seguridad Jeremiah Fowler. Según sus datos, el almacenamiento abierto contenía 9 042 977 imágenes con un volumen total de aproximadamente 450,2 GB. Entre los archivos había fotos de perfil, capturas de pantalla y fotografías comunes de adultos, adolescentes y niños.

Los archivos se almacenaron en el almacenamiento en la nube Amazon S3 en los directorios llamados «faces» y «profiles». La base no estaba protegida con contraseña ni cifrado, y la dirección del almacenamiento se pudo encontrar directamente en el código fuente de la página pública de ClarityCheck. Amazon recomienda cerrar el acceso público a S3 si no se requiere un depósito abierto para el funcionamiento del servicio.

ClarityCheck permite buscar información sobre una persona por nombre, número de teléfono, correo electrónico y fotografía. Al cargar una imagen, el usuario debe confirmar que tiene derecho a transmitirla. En la vigente política del servicio también se indica que solo se pueden subir fotografías de las que el usuario tenga derechos.

Fowler considera que las personas retratadas en las imágenes podrían no haber sabido que sus fotos se subieron. El servicio está diseñado, entre otras cosas, para identificar a una persona desconocida, por lo que la autorización de la propia persona podría haber estado ausente. Las fotografías del rostro son especialmente peligrosas, ya que ese rasgo biométrico no se puede reemplazar, como sí se puede una contraseña o el número de una tarjeta bancaria.

El especialista también observó archivos que se conservaron más tiempo del plazo declarado. Según los términos de ClarityCheck, las imágenes cargadas para la búsqueda inversa deben almacenarse temporalmente 14 días, tras lo cual el servicio promete eliminarlas automáticamente.

Tras la notificación, la empresa limitó el acceso al almacenamiento. ClarityCheck no estuvo de acuerdo con la formulación de una fuga pública, ya que para obtener los archivos era necesario conocer una dirección especial no indexada. La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos considera que los recursos mal configurados accesibles desde internet forman parte de la superficie de exposición externa y aconseja cerrar el acceso a todos los sistemas que no lo necesiten.

Fowler no encontró indicios de que terceros descargaran la base. Solo se puede comprobar si terceros accedieron a ella mediante los registros internos de ClarityCheck. La empresa también informó que mejoró el procedimiento para recibir informes de vulnerabilidades.

Un error separado afectó la interfaz de programación de ClarityCheck. Al modificar la dirección de la solicitud en un navegador habitual, se podían obtener las direcciones de correo electrónico, teléfonos y direcciones físicas relacionadas con el nombre indicado. Tras la notificación, ClarityCheck cerró ese método de acceso y declaró que la información procedía de fuentes abiertas y de proveedores de datos con licencia.