Telset.id – Database berisi sekitar 450 GB foto wajah yang diduga mencakup 9 juta gambar dari orang dewasa, remaja, dan anak-anak terekspos di layanan pencari orang ClarityCheck. Kebocoran data ini ditemukan oleh peneliti keamanan independen Jeremiah Fowler dan terpapar di Amazon S3 bucket tanpa proteksi selama berbulan-bulan.
Fowler menemukan bahwa seluruh gambar tersebut tersimpan dalam bucket Amazon S3 yang tidak diamankan, dengan file di folder bernama “faces” dan “profiles”. Siapa pun dapat mengaksesnya secara online melalui URL yang disertakan dalam kode situs web publik perusahaan.
ClarityCheck merupakan salah satu alat pencari orang yang muncul dalam beberapa tahun terakhir. Situs ini mengklaim mampu mencari web, catatan publik, dan database lain untuk mengidentifikasi individu. Layanan ini menjalankan pencarian berdasarkan nomor telepon, alamat email, nomor identifikasi kendaraan, dan nama.
Fitur Pencarian Wajah dan Risiko Biometrik
Fitur pencarian foto ClarityCheck mengklaim dapat membantu “mengidentifikasi siapa pun dalam sebuah foto” dan menemukan profil media sosial “dalam hitungan detik”. Meskipun ClarityCheck mengamankan database gambar besar setelah WIRED menghubungi perusahaan pada bulan Juli, Fowler memperingatkan bahwa data tersebut tampaknya terekspos selama berbulan-bulan. Upaya awalnya untuk melaporkan masalah ini kepada perusahaan tidak berhasil.
Kebocoran data yang tidak disengaja menciptakan risiko bagi informasi pribadi apa pun, terutama untuk data biometrik yang sensitif dan tidak dapat diubah seperti gambar wajah. Meskipun situs web ClarityCheck mengharuskan orang untuk menyatakan bahwa mereka memiliki izin untuk mengunggah foto, Fowler menunjukkan bahwa dalam praktiknya, orang-orang yang wajahnya terekspos mungkin tidak tahu bahwa ClarityCheck menyimpan gambar mereka.
“Jika Anda mencoba mencari tahu siapa seseorang, Anda mungkin tidak memiliki otorisasi atau izin, sehingga orang mungkin tidak tahu bahwa gambar mereka telah dimasukkan ke dalam database publik ini,” kata Fowler kepada WIRED. “Bot AI bisa merayapi database ini, mengekstrak wajah, dan menggunakannya untuk pelatihan. Dan ada banyak gambar anak-anak di dalamnya.”
Baca Juga:
Dalam pernyataan yang dikirim ke WIRED, juru bicara ClarityCheck mengapresiasi upaya Fowler untuk mengingatkan perusahaan tentang masalah tersebut. “Begitu hal ini menarik perhatian tim yang tepat, kami segera bertindak untuk membatasi akses,” kata juru bicara tersebut.
Perusahaan membantah karakterisasi bahwa data tersebut “terekspos”, dengan mengatakan bahwa “masyarakat umum” tidak akan menemukannya. “Kami tidak menerima bahwa data di lokasi penyimpanan sementara ‘terekspos secara publik’, yang menyiratkan akses publik skala besar,” kata juru bicara. “Akses membutuhkan pengetahuan tentang URL spesifik yang tidak terindeks yang tidak dapat ditemukan melalui penggunaan biasa layanan ClarityCheck atau pencarian web umum.”
Industri keamanan secara luas, serta pemerintah federal AS secara khusus, menganggap data terekspos jika dapat diakses oleh orang-orang yang tidak dimaksudkan untuk memiliki akses—terutama jika dapat dijangkau di internet terbuka tanpa dilindungi oleh persyaratan autentikasi seperti nama pengguna dan kata sandi.
“Eksposur adalah keadaan di mana data pribadi atau sensitif dibiarkan dapat diakses, dapat ditemukan, atau berisiko terhadap akses tidak sah, baik atau belum ada yang mengambil atau menyalahgunakannya,” kata Mark Beare, kepala produk konsumen di perusahaan keamanan Malwarebytes. “Backup database yang dapat dijangkau publik, bucket penyimpanan yang salah konfigurasi, atau kredensial yang berada di sistem yang dapat dijangkau peneliti adalah semua eksposur.”
API Salah Konfigurasi dan Risiko Lebih Luas
“Tidak ada indikasi akses jahat, seperti yang dicatat peneliti,” lanjut pernyataan ClarityCheck. “Data yang terlibat termasuk salinan duplikat, terpotong, dan diubah ukurannya dari file yang sama, bersama dengan data non-gambar, bukan 9 juta gambar unik.” Perusahaan menambahkan bahwa mereka telah “meningkatkan” prosedur pelaporan keamanannya untuk membantu peneliti lain menghubungi perusahaan di masa depan.
Selain data wajah, ClarityCheck juga salah mengonfigurasi API-nya sehingga URL situs web dapat dimanipulasi untuk mengungkapkan data tentang orang hanya dengan memasukkan nama. Siapa pun yang menggunakan browser konsumen dapat melakukan ini. Memasukkan nama ke salah satu URL akan mengembalikan beberapa kemungkinan alamat email, alamat fisik, dan nomor telepon untuk orang dengan nama itu. Setelah WIRED menghubungi perusahaan, URL tersebut diamankan.
Juru bicara ClarityCheck mengatakan dalam pernyataannya bahwa detail yang ditampilkan “bersumber dari informasi yang tersedia untuk publik dan penyedia data pihak ketiga berlisensi.” Fitur pencarian wajah ClarityCheck memungkinkan orang mengunggah gambar dan kemudian menerima “laporan” tentang di mana gambar itu mungkin muncul secara online dan siapa yang mungkin ditampilkan di foto.
Ketika reporter WIRED menguji sistem menggunakan gambar wajah mereka sendiri, situs web mengatakan sedang “memindai landmark wajah” dan “memetakan geometri wajah unik” sebelum mencocokkan gambar dengan yang lain secara online dan menawarkan laporan yang dapat mencakup nama lengkap, alamat, riwayat lokasi, penampilan publik, foto, video, profil media sosial, dan “profil kencan tersembunyi” dengan biaya tertentu. Laporan yang dihasilkan menyebutkan nama reporter, memberikan biografi, dan menautkan ke beberapa foto mereka secara online.
Kesalahan konfigurasi dan eksposur yang tidak disengaja memang umum terjadi secara online, tetapi karena platform digital menawarkan lebih banyak kemampuan otomatis untuk mengumpulkan dan menganalisis data pribadi yang sensitif, taruhannya semakin tinggi untuk mengamankan informasi. “Sistem yang mengandalkan informasi pribadi yang sangat sensitif untuk memverifikasi individu akan terus membawa risiko ini, bahkan dengan praktik minimalisasi data dan keamanan yang lebih kuat, karena model itu sendiri bergantung pada pengumpulan data sensitif,” kata Rebecca Williams, direktur strategi privasi dan tata kelola data di American Civil Liberties Union.
Fowler menekankan bahwa data yang terekspos, termasuk foto, lebih berharga daripada sebelumnya bagi penipu atau penjahat dunia maya. “Katakanlah saya berada di organisasi kriminal dan saya melakukan catfishing kepada orang-orang, dan saya menelusuri semua gambar ini dan saya memilih 20 orang yang paling menarik dan kemudian saya menggunakan gambar mereka dan AI untuk membuat persona,” kata Fowler.
Kasus ini menunjukkan bahwa layanan pencari orang yang mengumpulkan data biometrik membawa risiko keamanan yang signifikan. Meskipun ClarityCheck telah mengamankan database dan URL yang bermasalah, insiden ini menyoroti pentingnya keamanan data dalam layanan yang menangani informasi sensitif seperti foto wajah. Pengguna layanan semacam ini perlu menyadari bahwa data mereka dapat terekspos tanpa sepengetahuan mereka, dan konsekuensinya bisa jauh lebih serius daripada sekadar kebocoran data biasa.
[CONTENT_END]
Komentar
Belum ada komentar.