Un service conçu pour identifier des inconnus à partir d'une photo a laissé 9 millions de visages grands ouverts
Les personnes présentes dans cette base de données ne se sont inscrites à rien. C'est tout l'intérêt du service. ClarityCheck, un site de recherche de personnes enregistré aux États-Unis, vous invite à téléverser la photo de quelqu'un pour obtenir en retour un nom, des profils sur les réseaux sociaux et tout ce qui peut être trouvé. Son argument commercial est d'identifier des inconnus.
Le chercheur en sécurité Jeremiah Fowler a trouvé la collection dans un compartiment Amazon S3 non sécurisé, sans aucun mot de passe : 450 Go et plus de 9 millions de fichiers image. Photos de profil, captures d'écran, photographies ordinaires. Adultes, adolescents et enfants. Fowler affirme avoir alerté l'entreprise sans qu'il ne se passe rien ; l'accès n'a été restreint qu'en juillet, après que WIRED a contacté le service. Malwarebytes et plusieurs autres médias en ont fait le récit cette semaine.
Les conditions d'utilisation de ClarityCheck stipulent que les personnes qui téléversent des photos doivent avoir l'autorisation des personnes figurant dessus, une clause qui s'effondre dès qu'on y réfléchit un instant. Personne ne paie pour s'identifier soi-même, ou identifier quelqu'un qu'il connaît déjà. L'interprétation de Fowler est la plus évidente : la plupart des visages qui s'y trouvent ont été téléversés par quelqu'un d'autre, au sujet de quelqu'un d'autre, sans un mot à la personne présente sur l'image.
Il n'existe pas de solution propre, parce qu'un visage n'est pas un mot de passe. Vous ne pouvez pas le changer après une fuite, et il reste utile à un escroc pendant des décennies : usurpation d'identité, arnaque sentimentale, faux profil convaincant. Ce que vous pouvez contrôler, c'est votre propre bout de la chaîne : réfléchissez à deux fois avant d'alimenter un outil de recherche avec la photo de quelqu'un d'autre, et si vous vous découvrez dans l'un de ces résultats, faites une capture d'écran de la page et déposez une demande de retrait auprès de l'hébergeur. Le contrôle Confidentialité et comptes de Tendvane agit sur la machine devant vous, en montrant ce qui y est exposé ; un compartiment de stockage ouvert appartenant à un inconnu dépasse tout ce qui tourne sur votre PC.