İnsan arama aracı ClarityCheck'e bir fotoğraf yüklendiğinde, web sitesinde net bir mesaj yer alıyor: "Tersine görsel aramanız gizli ve güvendedir." Ancak yapılan yeni araştırmalar, web sitesinin 9 milyondan fazla fotoğraf dosyasını, bunlar arasında insanların yüzlerinin olduğu fotoğrafları da kamuya açık bir şekilde maruz bıraktığını ortaya koyuyor. İkinci bir yanlış yapılandırma ise insanların e-posta adreslerini ve telefon numaralarını açıkta bıraktı.
Bağımsız güvenlik araştırmacısı Jeremiah Fowler'ın bulgularına göre, açığa çıkan ClarityCheck veritabanı yaklaşık 450 GB görsele ev sahipliği yapıyordu. Bu görseller arasında profil resimleri, ekran görüntüleri ve yetişkinler, gençler ve çocuklara ait diğer fotoğraflar bulunuyordu. Tüm görseller, güvensiz bir Amazon S3 bucket'ında, "faces" ve "profiles" olarak adlandırılan klasörlerde saklanıyordu. Bu klasörlere, şirketin web sitesi kodunda bulunan bir URL aracılığıyla internet üzerinden herhangi bir kişi erişebiliyordu.
ClarityCheck, son yıllarda internette ortaya çıkan ve "kişi bulma" olarak adlandırılan araçlardan biri. Bu web siteleri, bireyleri tanımlamak için web'de, kamu kayıtlarında ve diğer veritabanlarında arama yapabildiklerini iddia ediyor. ClarityCheck'in web sitesi, telefon numaraları, e-posta adresleri, araç kimlik numaraları ve isimler üzerinden arama yapabildiğini belirtiyor. Fotoğraf arama sayfası ise "bir fotoğraftaki herhangi bir kişiyi tanımlamaya" ve "saniyeler içinde" sosyal medya profillerini bulmaya yardımcı olabileceğini söylüyor.
ClarityCheck, çevrimiçi bir gazetecinin şirketle iletişime geçmesinin ardından devasa görsel veritabanını güvence altına almış olsa da, Fowler bu durumun aylarca açıkta kaldığını ve sorunu şirkete bildirme çabalarının başlangıçta başarısız olduğunu belirtiyor. Kazara yaşanan veri açıkları, kişisel bilgiler için risk oluştururken, yüz görüntüleri gibi hassas ve değiştirilemez biyometrik veriler için bu risk daha da artıyor.
ClarityCheck'in web sitesi, kullanıcılardan sitelerine fotoğraf yüklemek için izin almaları gerektiğini belirtse de, Fowler pratikte yüzleri açığa çıkan kişilerin bu durumdan haberdar olmayabileceğini vurguluyor. Nihayetinde, hizmetin tanımlama amacıyla tasarlandığı ve insanların genellikle kendilerini veya tanıdıklarını tanımlamak istemediği belirtiliyor.
Fowler, "Bir kişinin kim olduğunu öğrenmeye çalışıyorsanız, yetkiniz veya izniniz olmayabilir, bu nedenle insanlar görüntülerinin herkese açık bir veritabanına aktarıldığından haberdar olmayabilir" diyor. "Bir yapay zeka botu bunu tarayabilir, yüzleri çıkarabilir ve eğitim için kullanabilir. Ve orada çok sayıda çocuğun fotoğrafı var."
Şirketten yapılan açıklamada, ClarityCheck'in sorunlar hakkında şirketi bilgilendiren çabaları takdir ettiği belirtildi. Sözcü, "Bu durum ilgili ekiplerin dikkatine sunulduktan sonra erişimi derhal kısıtladık" dedi.
Şirket, verilerin "açığa çıktığı" yönündeki iddiaları reddederek, "sıradan bir vatandaşın" bunlara ulaşamayacağını savundu. Sözcü, "Geçici depolama alanındaki verilerin, büyük ölçekli halka açık erişim anlamına gelen 'kamuya açık' olduğu iddialarını kabul etmiyoruz. Erişimin, ClarityCheck hizmetinin sıradan kullanımı veya genel bir web aramasıyla keşfedilemeyen, belirli, dizine alınmamış bir URL bilgisi gerektirdiğini" ekledi.
Genel olarak güvenlik sektörü ve ABD federal hükümeti, kimlerin erişmesi amaçlanmıyorsa onlara erişilebilen, özellikle de bir kullanıcı adı ve şifre gibi bir kimlik doğrulama gerektirmeyen açık internette ulaşılabiliyorsa, verilerin maruz kaldığını kabul ediyor. Güvenlik şirketi Malwarebytes'in tüketici ürünleri başkanı Mark Beare, "Maruz kalma, kişisel veya hassas verilerin yetkisiz erişim riskiyle karşı karşıya kalması, keşfedilebilir veya başka bir şekilde risk altına girmesidir, bu durum hiç kimsenin henüz kullanıp kullanmadığına bakılmaksızın geçerlidir. Kamu tarafından erişilebilen bir veritabanı yedeklemesi, yanlış yapılandırılmış bir depolama kutusu veya bir araştırmacının ulaşabileceği bir sistemdeki kimlik bilgileri maruz kalma durumlarıdır." dedi.
ClarityCheck açıklamasında, "Araştırmacının belirttiği gibi, kötü niyetli erişim olduğuna dair herhangi bir gösterge yok. Söz konusu veriler, aynı dosyaların yinelenen, kırpılmış ve yeniden boyutlandırılmış kopyalarını ve görüntü verisi olmayan verileri içeriyor, 9 milyon benzersiz görüntüyü değil." şeklinde devam etti.
Şirket, gelecekte diğer araştırmacıların şirketle iletişime geçmesine yardımcı olmak için güvenlik raporlama prosedürlerini "iyileştirdiğini" ekledi.
Yüz verilerine ek olarak, ClarityCheck API'lerini de yanlış yapılandırarak web sitesi URL'lerinin sadece isim girilerek kişiler hakkında veri ortaya çıkarabilecek şekilde manipüle edilmesine olanak tanımıştı. Herhangi bir tüketici tarayıcısı kullanan herkes bunu yapabilirdi. URL'lerden birine bir isim girmek, o isme sahip kişiler için birden fazla potansiyel e-posta adresi, fiziksel adres ve telefon numarası döndürebilirdi. Gazetecinin şirketle iletişime geçmesinin ardından URL'ler güvence altına alındı. ClarityCheck sözcüsü, açıklamasında gösterilen detayların "kamuya açık bilgilerden ve lisanslı üçüncü taraf veri sağlayıcılarından" alındığını belirtti.
ClarityCheck'in yüz arama özelliği, insanların bir görsel yüklemesine ve ardından o görselin çevrimiçi olarak nerede görünebileceği ve fotoğrafta kimin olabileceği hakkında bir "rapor" almasına olanak tanıyor. Bir gazeteci sistemi kendi yüz görüntüsünü kullanarak test ettiğinde, web sitesi görseli çevrimiçi olarak diğerleriyle eşleştirmeden ve tam bir isim, adresler, konum geçmişi, kamu görünümleri, fotoğraflar, videolar, sosyal medya profilleri ve ücretli "gizli flört profilleri"ni içerebilecek bir rapor sunmadan önce "yüz özelliklerini taradığını" ve "benzersiz yüz geometrisini haritaladığını" söyledi. Ortaya çıkan rapor, gazetecinin adını verdi, bir biyografi sağladı ve çevrimiçi olarak kendisiyle ilgili birden fazla fotoğrafa bağlantı verdi.
Yanlış yapılandırmalar ve kazara yaşanan veri açıkları maalesef çevrimiçi ortamda yaygın olsa da, dijital platformlar hassas kişisel verileri toplamak ve analiz etmek için giderek daha fazla otomatikleştirilmiş yetenekler sundukça, bilgileri güvence altına almanın riskleri de artıyor.
Amerikan Sivil Haklar Birliği'nin (ACLU) gizlilik ve veri yönetişimi stratejisi direktörü Rebecca Williams, "Bireyleri doğrulamak için yüksek derecede hassas kişisel bilgilere dayanan sistemler, veri minimizasyonu ve güvenlik uygulamaları daha güçlü olsa bile bu riskleri taşımaya devam edecek, çünkü modelin kendisi hassas veri toplama üzerine kurulu" diyor.
Fowler, fotoğraflar dahil olmak üzere açığa çıkan verilerin, dolandırıcılar veya siber suçlular için her zamankinden daha değerli olduğunu vurguluyor. Fowler, "Diyelim ki bir suçlu kılığındayım ve insanları kandırıyorum, sonra tüm bu resimlere bakıp en çekici 20 kişiyi seçiyorum ve sonra onların görüntüsünü ve yapay zekayı kullanarak bir kimlik oluşturuyorum" diyor.
