أداة للبحث بالوجه تترك أكثر من 9 ملايين صورة مكشوفة دون حماية
قد تنتهي الصورة التي رفعتها للتعرف على شخص ما في مكان لم تتوقعه إطلاقًا. فقد اكتشف الباحث الأمني جيريميا فاولر قاعدة بيانات غير مؤمّنة مرتبطة بخدمة ClarityCheck للبحث عن الأشخاص، التي تقول إن ميزة البحث العكسي عن الصور لديها خاصة وآمنة، وتضم أكثر من 9 ملايين ملف، من بينها صور لوجوه أشخاص.
وتعتمد “ClarityCheck” في خدماتها على مساعدة المستخدمين في التحقق من هوية أشخاص غرباء وتحديد مدى إمكانية الوثوق بهم عبر الإنترنت، ما يجعل تعرض بيانات الصور التي يرفعها المستخدمون لمشكلة أمنية أمرًا مثيرًا للقلق بشكل خاص.
ووفقًا لبحث فاولر الذي نشرته “ExpressVPN”، كانت قاعدة البيانات تحتوي على نحو 450 غيغابايت من البيانات، ولم تكن تتطلب كلمة مرور للوصول إليها.
وكانت العديد من الملفات مخزنة داخل مجلدات تحمل أسماء مثل “faces” و”profiles”، وتضمنت صورًا شخصية ولقطات شاشة وصورًا أخرى لبالغين ومراهقين وأطفال، بحسب تقرير نشره موقع “digitaltrends” واطلعت عليه “العربية Business”.
وبحسب التقرير، كان موقع التخزين يمكن الوصول إليه عبر عنوان URL عُثر عليه داخل الشفرة البرمجية المتاحة للعامة على موقع “ClarityCheck”، وقد قامت الشركة منذ ذلك الحين بتقييد الوصول إليه.
الأشخاص الظاهرون في الصور ربما لم يستخدموا “ClarityCheck” مطلقًا
وهنا تزداد المشكلة حساسية. تتيح “ClarityCheck” للمستخدم رفع صورة للبحث عن الشخص الظاهر فيها، مع إمكانية الحصول على حساباته على شبكات التواصل الاجتماعي ومعلومات أخرى قد تساعد في تحديد هويته.
وهذا يعني أن الشخص الذي يجري البحث عن وجهه ربما لم يزر “ClarityCheck” أو يستخدم خدماتها من الأساس.
وقال فاولر إن بعض الصور بدت مأخوذة من شبكات التواصل الاجتماعي وملفات المواعدة ولقطات الشاشة والصور الفوتوغرافية، ما يثير احتمال عدم معرفة أصحابها بأن صور وجوههم كانت مخزنة داخل قاعدة البيانات.
كما أفاد بأنه عثر على ملفات تحمل طوابع زمنية تتجاوز فترة الاحتفاظ المعلنة من “ClarityCheck” للصور التي يرفعها المستخدمون، والبالغة 14 يومًا.
“ClarityCheck” تنفي أن الصور كانت مكشوفة للعامة
وفي بيان لمجلة “WIRED”، اعترضت “ClarityCheck” على وصف قاعدة البيانات بأنها مكشوفة للعامة، موضحة أن الوصول إليها كان يتطلب عنوان URL محددًا وغير مفهرس.
لكن الملفات نفسها لم تكن محمية بكلمة مرور، كما عثر فاولر على عنوان URL المذكور داخل شفرة برمجية متاحة على موقع “ClarityCheck” نفسه.
ولا توجد أدلة حتى الآن على أن جهة خبيثة تمكنت من الوصول إلى قاعدة البيانات قبل تأمينها.
ومع ذلك، فإن وجود عنوان URL غير معروف للعامة لا يعني أن البيانات محمية فعليًا، فإذا كان باحث أمني قادرًا على اكتشافه من خلال شفرة برمجية متاحة للجميع، فمن المحتمل أن يتمكن شخص آخر من العثور عليه أيضًا.
مشكلة أمنية أخرى تكشف بيانات شخصية
واجهت “ClarityCheck” أيضًا مشكلة أمنية منفصلة تتعلق بواجهات برمجة التطبيقات الخاصة بموقعها.
ووفقًا لتقرير “WIRED”، كان من الممكن، من خلال التلاعب ببعض عناوين URL الخاصة بخدمة “ClarityCheck” وإدخال اسم شخص، الكشف عن عناوين بريد إلكتروني وأرقام هواتف وعناوين سكن محتملة، دون الحاجة إلى صلاحيات وصول خاصة.
وحتى الآن، لم تشر التقارير إلى وجود رابط مباشر بين هذه البيانات التعريفية والصور التي كانت مكشوفة في قاعدة البيانات.
ومع ذلك، فإن تخزين صورة شخص في قاعدة بيانات غير مؤمّنة لدى خدمة ربما لم يستخدمها ذلك الشخص من الأساس يمثل مشكلة خطيرة تتعلق بالخصوصية، خصوصًا في ظل سهولة استخدام تقنيات الذكاء الاصطناعي حاليًا في انتحال الهوية وإنشاء الحسابات المزيفة وتنفيذ عمليات الاحتيال.
المصدر: العربية – تكنولوجيا