Ters Arama Hizmeti, Milyonlarca Kişinin Yüz Fotoğrafını Açığa Çıkardı

Birisi kişi arama aracı ClarityCheck’e bir fotoğraf yüklediğinde, web sitesi şu net mesajı veriyor: “Tersine görsel aramanız gizli ve güvenlidir.” Ancak yeni araştırmalar, web sitesinin insanların yüz fotoğrafları da dahil olmak üzere 9 milyondan fazla resim dosyasını herkese açık bir şekilde ifşa ettiğini ortaya koyuyor. Ayrıca ikinci bir yapılandırma hatası nedeniyle insanların e-posta adresleri ve telefon numaraları da herkese açık hale geldi.

Genel olarak, bağımsız güvenlik araştırmacısı Jeremiah Fowler’ın bulgularına göre, sızdırılan ClarityCheck veritabanı, yetişkinlerin, gençlerin ve çocukların profil resimleri, ekran görüntüleri ve diğer fotoğrafları gibi görünen yaklaşık 450 GB’lık görsel içeriyordu. Tüm görseller, güvenli olmayan bir Amazon S3 depolama alanında saklanıyordu. Dosyalar, ‘faces’ ve ‘profiles’ adlı klasörlerde yer alıyordu ve şirketin halka açık web sitesi kodunda bulunan bir URL aracılığıyla çevrimiçi olarak herkes tarafından erişilebiliyordu.

ClarityCheck, son yıllarda internette ortaya çıkan, ‘kişi bulma’ aracı olarak adlandırılan araçlardan biridir. Bu tür web siteleri genel olarak, bireylerin kimliklerini tespit etmek için internette, kamu kayıtlarında ve diğer veritabanlarında arama yapabildiklerini iddia ederler. ClarityCheck’in web sitesinde, telefon numaraları, e-posta adresleri, araç kimlik numaraları ve isimler üzerinden arama yapabileceği belirtilmekte. Fotoğraf arama sayfasında ise ‘fotoğraftaki herhangi bir kişinin kimliğini tespit etmeye’ ve sosyal medya profillerini ‘saniyeler içinde’ bulmaya yardımcı olabileceği ifade edilmektedir.

WIRED dergisinin Temmuz ayında şirketle iletişime geçmesinin ardından ClarityCheck bu devasa görüntü veritabanının güvenliğini sağlasa da, Fowler, veritabanının görünüşe göre aylarca açıkta kaldığı ve sorunu şirkete bildirmek için yaptığı ilk girişimlerin sonuçsuz kaldığı konusunda uyarıyor. Kazara gerçekleşen veri sızıntıları, her türlü kişisel bilgi için risk oluşturur; ancak bu risk, yüz görüntüleri gibi hassas ve değiştirilemez biyometrik veriler için özellikle daha büyük.

ClarityCheck’in web sitesi, kullanıcıların siteye fotoğraf yükleme iznine sahip olduklarını beyan etmelerini gerektirse de Fowler, pratikte yüzleri görünen kişilerin ClarityCheck’in kendi fotoğraflarına sahip olduğundan haberdar olmayabileceğine dikkat çekiyor. Sonuçta, hizmetin açıkça kimlik tespiti amacıyla tasarlandığını ve insanların genellikle kendilerini ya da tanıdıklarını tanımlamaya çalışmadıklarını belirtiyor.

“Bir kişinin kim olduğunu bulmaya çalışıyorsanız, bunun için gerekli yetkiniz veya izniniz olmayabilir; dolayısıyla insanlar, kendi fotoğraflarının bu halka açık veritabanına eklendiğinden haberdar olmayabilir,” diyor Fowler, WIRED’a yaptığı açıklamada. “Bir yapay zeka botu bu veritabanını tarayabilir, yüzleri ayıklayabilir ve bunları eğitim amacıyla kullanabilir. Üstelik orada çok sayıda çocuk fotoğrafı da var.”

WIRED’e gönderilen bir açıklamada, bir sözcü, ClarityCheck’in Fowler’ın bu sorunları şirkete bildirme çabalarını takdir ettiğini belirtti. Sözcü, “Bu durum ilgili ekiplerin dikkatine sunulur sunulmaz, erişimi kısıtlamak için derhal harekete geçtik,” dedi.

Şirket, verilerin ‘ifşa edildiği’ yönündeki iddiaları reddederek, ‘sıradan bir kişinin’ bu verilere rastlamayacağını belirtti. Şirket sözcüsü, “Geçici depolama alanındaki verilerin, geniş çaplı kamu erişimini ima eden ‘kamuya açık hale geldiği’ iddiasını kabul etmiyoruz” dedi. “Bu verilere erişmek için, ClarityCheck hizmetinin normal kullanımıyla veya genel bir web aramasıyla bulunamayan, indekslenmemiş belirli bir URL’yi bilmek gerekiyordu.”

Güvenlik sektörü genel olarak ve ABD federal hükümeti özelinde, verilere erişmesi amaçlanmayan kişiler tarafından erişilebiliyorsa, özellikle de kullanıcı adı ve şifre gibi bir kimlik doğrulama şartıyla korunmadan açık internette erişilebilir durumdaysa bu verilerin ‘ifşa olmuş’ olduğu kabul edilir. Güvenlik şirketi Malwarebytes’in tüketici ürünleri başkanı Mark Beare, “Açığa çıkma, kişisel veya hassas verilerin erişilebilir, bulunabilir durumda bırakılması ya da başka bir şekilde yetkisiz erişim riskine maruz kalması durumudur; bu verilerin henüz kimse tarafından alınmış veya kötüye kullanılmış olup olmadığına bakılmaksızın,” diyor. “Herkesin erişebileceği bir veritabanı yedeği, yanlış yapılandırılmış bir depolama alanı veya bir araştırmacının erişebileceği bir sistemde bulunan kimlik bilgileri, hepsi birer açığa çıkma örneğidir.”

ClarityCheck’in açıklamasında şöyle devam edildi: “Araştırmacının da belirttiği gibi, kötü niyetli bir erişimden söz edilemez. Söz konusu veriler, 9 milyon benzersiz görüntüden ibaret değil; aynı dosyaların yinelenen, kırpılmış ve boyutları değiştirilmiş kopyalarının yanı sıra görüntü dışı verileri de içeriyor.”

Şirket, gelecekte diğer araştırmacıların kendileriyle iletişime geçebilmelerini sağlamak amacıyla güvenlik bildirim prosedürlerini ‘iyileştirdiğini’ de ekledi.

Yüz verilerinin yanı sıra, ClarityCheck API’lerini de yanlış yapılandırmıştı; bu durum, web sitesi URL’lerinin, sadece isim girilerek kişilerle ilgili verilerin ortaya çıkarılacağı şekilde manipüle edilebilmesine yol açıyordu; herhangi bir tüketici tarayıcısı kullanan herkes bunu yapabilirdi. URL'lerden birine bir isim girildiğinde, o isme sahip kişilerle ilgili birden fazla potansiyel e-posta adresi, fiziksel adres ve telefon numarası görüntüleniyordu. WIRED'ın şirketle iletişime geçmesinin ardından URL'ler güvenli hale getirildi. ClarityCheck sözcüsü yaptığı açıklamada, görüntülenen bilgilerin “halka açık kaynaklardan ve lisanslı üçüncü taraf veri sağlayıcılarından elde edildiğini” belirtti.

ClarityCheck’in yüz arama özelliği, kullanıcıların bir resim yüklemelerine ve ardından bu resmin çevrimiçi ortamda nerelerde görünebileceği ve fotoğrafta kimlerin yer alabileceği konusunda bir ‘rapor’ almalarına olanak tanır. Bir WIRED muhabiri kendi yüz resmini kullanarak sistemi test ettiğinde, web sitesi ‘yüz özelliklerini taradığını’ ve ‘benzersiz yüz geometrisini haritalandırdığını’ belirtti; ardından resmi internetteki diğer resimlerle eşleştirdi ve ücret karşılığında tam ad, adresler, konum geçmişi, halka açık etkinlikler, fotoğraflar, videolar, sosyal medya profilleri ve ‘gizli flört profilleri’ni içerebilen bir rapor sundu. Ortaya çıkan raporda muhabirin adı geçiyordu, biyografisi yer alıyordu ve internetteki birçok fotoğrafına bağlantı veriliyordu.

Yanlış yapılandırmalar ve kazara bilgi sızıntıları ne yazık ki çevrimiçi ortamda sıkça görülmektedir; ancak dijital platformlar, hassas kişisel verilerin toplanması ve analiz edilmesi için giderek daha fazla otomatikleştirilmiş özellik sunmaya başladıkça, bilgilerin güvenliğini sağlama konusundaki riskler de giderek artmakta.

Amerikan Sivil Özgürlükler Birliği’nin (ACLU) gizlilik ve veri yönetimi strateji direktörü Rebecca Williams, “Kişilerin kimliğini doğrulamak için son derece hassas kişisel bilgilere dayanan sistemler, veri minimizasyonu ve güvenlik uygulamaları ne kadar güçlendirilirse güçlendirilse de bu riskleri taşımaya devam edecektir; çünkü modelin kendisi hassas verilerin toplanmasına dayanmaktadır,” diyor.

Fowler, fotoğraflar da dahil olmak üzere, sızdırılmış verilerin dolandırıcılar veya siber suçlular için her zamankinden daha değerli olduğunu vurguluyor. “Diyelim ki bir suç örgütünün üyesiysem ve insanları ‘catfishing’ yoluyla kandırıyorsam; tüm bu fotoğrafları gözden geçirip en çekici 20 kişiyi seçiyorum ve sonra onların görüntülerini ve yapay zekayı kullanarak bir kimlik yaratıyorum,” diyor Fowler.

Bu haber ilk olarak Lily Hay Newman ve Matt Burgess tarafından WIRED sitesinde yayınlanmış ve Mahmut Karslıoğlu tarafından İngilizceden çevrilmiştir.