누군가를 식별하기 위해 업로드한 사진이 예상치 못한 곳에 도착했을 수도 있습니다. 보안 연구원인 Jeremiah Fowler는 사람 검색 서비스인 ClarityCheck에 연결되어 있는 보안되지 않은 데이터베이스를 발견했습니다. 이 데이터베이스는 사람의 얼굴 사진을 포함해 900만 개 이상의 파일이 포함된 역 이미지 검색이 “비공개적이고 안전하다”고 말합니다. ClarityCheck는 사람들이 낯선 사람을 확인하고 온라인에서 신뢰할 수 있는 사람을 결정하는 데 도움을 주는 서비스를 구축했는데, 이로 인해 자체 사용자의 업로드와 관련된 보안 문제가 특히 불편해졌습니다.
ExpressVPN이 발표한 Fowler의 연구에 따르면 데이터베이스는 약 450GB의 데이터를 보유하고 있으며 액세스하는 데 비밀번호가 필요하지 않았습니다. 많은 파일은 “얼굴” 및 “프로필”이라는 폴더에 저장되었으며 프로필 사진, 스크린샷 및 성인, 청소년, 어린이의 기타 이미지가 포함되어 있었습니다. 저장 위치는 ClarityCheck의 공개 웹사이트 코드에서 발견된 URL을 통해 접근 가능한 것으로 알려졌습니다. 이후 회사는 접근을 제한했습니다.
사진 속 사람들은 ClarityCheck를 사용해 본 적이 없을 수도 있습니다.
상황이 특히 불편해지는 곳이다. ClarityCheck를 사용하면 사진을 업로드하여 사진에 표시된 사람을 검색할 수 있으며 잠재적으로 소셜 미디어 프로필 및 기타 식별 정보가 반환될 수 있습니다. 이는 얼굴이 검색되는 사람이 ClarityCheck를 직접 방문한 적이 없을 수도 있음을 의미합니다.
파울러는 일부 이미지가 소셜 미디어, 데이트 프로필, 스크린샷, 사진에서 나온 것으로 보여 사람들이 자신의 얼굴이 데이터베이스 안에 있다는 사실을 전혀 몰랐을 가능성이 높다고 말했습니다. 그는 또한 업로드된 이미지에 대해 ClarityCheck가 명시한 14일 보존 기간을 초과하는 타임스탬프가 있는 파일을 발견했다고 보고했습니다.
ClarityCheck는 사진이 실제로 공개되지 않았다고 말합니다.
WIRED에 보낸 성명에서 ClarityCheck는 데이터베이스가 “공개적으로 노출”되었다는 설명을 거부하고 액세스하려면 색인화되지 않은 특정 URL이 필요하다고 주장했습니다. 그러나 파일 자체는 비밀번호로 보호되지 않았으며 Fowler는 ClarityCheck의 자체 웹 사이트에서 코드의 URL을 사용할 수 있음을 발견했습니다.
데이터베이스가 보호되기 전에 누군가 악의적으로 데이터베이스에 액세스했다는 증거는 없습니다. 그러나 모호한 URL은 보호되는 URL과 동일하지 않으며, 보안 연구원이 공개적으로 사용 가능한 코드를 통해 이를 찾을 수 있다면 다른 사람도 잠재적으로 그럴 수 있습니다.
ClarityCheck에는 웹사이트 API와 관련된 별도의 보안 문제도 있었습니다. WIRED에 따르면 특정 ClarityCheck URL을 조작하고 사람의 이름을 입력하면 특별한 액세스 없이도 가능한 이메일 주소, 전화번호 및 실제 주소가 공개될 수 있습니다.
현재로서는 신원 확인 세부 사항이 노출된 사진과 직접적으로 연결되어 있다는 보도는 나오지 않았습니다. 그럼에도 불구하고, 한 번도 사용해 본 적이 없는 서비스에 의해 보안되지 않은 데이터베이스에 이미지를 저장하는 것은 심각한 개인 정보 보호 문제입니다. 특히 AI가 사칭, 가짜 프로필 및 사기를 훨씬 쉽게 처리할 수 있게 만든 경우에는 더욱 그렇습니다.
이 주제에 대해 더 알고 싶다면 아래를 참고하세요