ClarityCheck dejó expuestas más de 9 millones de fotos de rostros

Una base de datos vinculada a ClarityCheck, servicio de búsqueda facial que se promociona como privado y seguro, quedó accesible sin contraseña y habría expuesto más de 9 millones de archivos de imagen. La falla también abrió interrogantes sobre la retención de fotografías y posibles datos personales.
***

• Un investigador encontró cerca de 450 GB de imágenes en un almacén sin protección y notificó a ClarityCheck.
• Los archivos incluían fotos de rostros, perfiles y capturas de pantalla de adultos, adolescentes y niños.
• La empresa restringió el acceso, pero cuestionó que el almacén pudiera calificarse como públicamente expuesto.

Una herramienta de búsqueda facial que promete a sus usuarios consultas privadas y seguras dejó expuesta una base de datos con más de 9 millones de archivos de imagen, incluidas fotografías de rostros. El investigador de seguridad Jeremiah Fowler encontró el almacén sin protección y calculó que contenía aproximadamente 450 GB de información, un volumen considerable para un servicio dirigido al consumidor. ClarityCheck, la empresa detrás de la herramienta, restringió el acceso después de recibir la notificación sobre el hallazgo.

El caso resulta especialmente delicado porque el servicio permite subir una fotografía para intentar identificar a la persona que aparece en ella. Las imágenes expuestas no solo podían corresponder a usuarios de la plataforma, sino también a personas cuyos rostros fueron cargados por terceros sin que ellas hubieran tenido contacto con ClarityCheck. La situación pone en tensión la promesa comercial de seguridad de una herramienta diseñada precisamente para ayudar a verificar identidades y detectar perfiles falsos.

Una base de datos sin contraseña

Fowler difundió sus hallazgos a través de ExpressVPN, según los reportes de WIRED y Digital Trends. El almacén podía abrirse sin contraseña y reunía archivos organizados en carpetas con nombres como “rostros” y “perfiles”, donde aparecían fotos de perfil, capturas de pantalla y otras imágenes de adultos, adolescentes y niños. La escala del conjunto convirtió una sola mala configuración en una exposición potencial de millones de rostros.

La dirección web que conducía al almacenamiento estaba presente en el código público del sitio de ClarityCheck, de acuerdo con los informes. Aunque los motores de búsqueda no indexaban ese enlace, los archivos situados detrás de él carecían de una barrera de autenticación, por lo que conocer la dirección podía ser suficiente para consultarlos. Digital Trends subrayó que un enlace difícil de encontrar no equivale a una protección efectiva cuando los contenidos no exigen contraseña.

Fowler avisó a la empresa y el acceso quedó restringido posteriormente, pero no se informó durante cuánto tiempo permanecieron abiertos los datos. El investigador tampoco pudo establecer si alguien más descargó los archivos, debido a que el almacenamiento no ofrecía registros de acceso públicos que pudiera revisar. Además, Fowler no encontró señales de que terceros hubieran entrado con malas intenciones antes de que ClarityCheck asegurara la base.

La ausencia de evidencia sobre un uso malicioso no elimina el riesgo creado por la configuración. Una base de datos que puede abrirse desde internet expone a sus titulares a copias, redistribución o análisis que la empresa quizá nunca llegue a detectar, especialmente cuando contiene imágenes faciales difíciles de sustituir o revocar. En este caso, la información disponible no permite afirmar que los archivos fueran descargados ni vincular directamente las fotografías con una intrusión concreta.

El segundo problema con los datos personales

La investigación también identificó una debilidad distinta dentro del propio sistema de búsqueda. Según WIRED, al modificar determinadas direcciones web de ClarityCheck e introducir el nombre de una persona, era posible obtener direcciones de correo electrónico, números telefónicos y posibles domicilios sin contar con acceso especial. Ese mecanismo no dependía del almacén de imágenes, lo que apunta a dos configuraciones separadas dentro del servicio.

Los reportes no conectaron de manera directa esos datos de contacto con las fotografías expuestas. Esa distinción es importante para no presentar como una sola filtración lo que, de acuerdo con la información disponible, fueron dos problemas técnicos diferentes: uno relacionado con el almacenamiento de imágenes y otro con la respuesta del sistema de búsqueda. Sin embargo, ambos hallazgos amplían las preguntas sobre los controles de acceso y el tratamiento de información personal de la plataforma.

ClarityCheck comercializa su herramienta como una forma de detectar suplantaciones de identidad y perfiles falsos en aplicaciones de citas, según Digital Trends. El atractivo del servicio depende de que las personas confíen sus propias imágenes a la plataforma y crean que las consultas no pondrán esos archivos a disposición de terceros. Por eso, una exposición que involucra fotografías cargadas por los usuarios contradice el fundamento de seguridad sobre el que se presenta el producto.

El impacto potencial alcanza incluso a quienes jamás utilizaron ClarityCheck. La plataforma permite que una persona suba el rostro de otra para realizar una búsqueda, mientras que algunas imágenes parecían proceder de redes sociales, perfiles de citas y capturas de pantalla, de acuerdo con Fowler. Quienes aparecen en esos archivos pudieron no saber que sus rostros estaban almacenados en un sistema de búsqueda facial ni tener una oportunidad real de cuestionar esa inclusión.

Retención de imágenes bajo escrutinio

Fowler también señaló que encontró archivos con marcas de tiempo posteriores al límite de 14 días que ClarityCheck declara para conservar las imágenes subidas. Si esa observación refleja correctamente el funcionamiento del almacenamiento, algunas fotografías habrían permanecido disponibles durante más tiempo del establecido en la política de la empresa. Los informes indicaron que ClarityCheck no respondió específicamente a ese punto en su declaración.

Las políticas de retención cumplen una función central en los servicios que procesan rostros, porque determinan cuánto tiempo una compañía conserva material que puede identificar o describir a una persona. Un plazo anunciado de 14 días crea una expectativa concreta para quien carga una imagen o permite que otro usuario la analice. Cuando aparecen marcas de tiempo que parecen superar ese límite, la empresa debe explicar si se trata de copias temporales, registros técnicos, errores de clasificación o una conservación más prolongada.

El caso también muestra que la privacidad no depende únicamente de que un sitio tenga una política clara. La protección efectiva requiere que los permisos del almacenamiento, las rutas del sistema de búsqueda y los procesos de eliminación funcionen de acuerdo con lo prometido. Una discrepancia entre el discurso comercial y la configuración técnica puede dejar expuestos datos incluso cuando la empresa afirma que su servicio opera bajo reglas restrictivas.

Para las personas retratadas, el problema es difícil de resolver con medidas tradicionales. Una contraseña filtrada puede cambiarse y un número telefónico puede reemplazarse, pero un rostro permanece asociado a la identidad de su titular. Esa característica vuelve especialmente sensibles las fallas que involucran bases de datos faciales, porque la exposición puede tener consecuencias persistentes aunque el almacén ya no sea accesible.

La respuesta de ClarityCheck y el contexto más amplio

ClarityCheck cuestionó la descripción del almacén como “expuesto públicamente” en una declaración entregada a WIRED. La empresa argumentó que acceder a los archivos requería una dirección web específica que no estaba indexada, aunque los reportes señalaron que esa dirección podía encontrarse en el código público del sitio y que los archivos no tenían contraseña. La compañía no habría discutido la cantidad de archivos identificada en la investigación.

La discusión semántica no cambia el elemento técnico principal: el almacenamiento permitía consultar los contenidos sin autenticación una vez localizada la dirección. TNW no verificó la base de datos de forma independiente, por lo que el relato se apoya en la investigación de Fowler, los reportes de WIRED y Digital Trends, y la declaración de ClarityCheck a WIRED. Esa atribución resulta relevante porque no se ha publicado una auditoría independiente que determine el alcance exacto de la exposición o el periodo durante el cual ocurrió.

La exposición se inscribe en una tendencia más amplia de incidentes relacionados con información facial. En junio, el grupo ShinyHunters publicó 45 GB de registros del Madison Square Garden que incluían datos de reconocimiento facial, mientras las herramientas capaces de relacionar una fotografía con un nombre se expanden desde sistemas de tiendas hasta servicios de verificación en línea. Cada nuevo repositorio de esta clase se convierte en un objetivo adicional para atacantes, investigadores y actores que buscan reutilizar imágenes.

El avance de la inteligencia artificial eleva aún más las consecuencias potenciales, porque facilita la suplantación de identidad y la creación de estafas mediante contenido generado. Los analistas han advertido que una futura vulneración no tendría que parecerse a una filtración convencional para causar daño: bastaría con que alguien utilizara rostros disponibles para construir perfiles falsos, engañar a terceros o asociar una identidad con actividades que nunca realizó. En ese escenario, la principal preocupación para las personas afectadas por ClarityCheck es directa: su imagen quedó bajo control de un servicio que muchas de ellas nunca usaron.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín