Un fallo de seguridad en ClarityCheck, una herramienta de búsqueda inversa de imágenes y datos personales, expuso durante meses más de nueve millones de archivos fotográficos —incluidos rostros de adultos, adolescentes y niños— junto con direcciones de correo electrónico y números de teléfono, según una investigación publicada esta semana. El incidente, descubierto por el investigador independiente de seguridad Jeremiah Fowler, reaviva el debate sobre los riesgos de las plataformas de identificación biométrica y la acumulación masiva de datos faciales en internet.
De acuerdo con el reportaje de Wired, la base de datos afectada alcanzaba unos 450 GB de imágenes almacenadas en un bucket de Amazon S3 configurado sin autenticación. Los archivos, organizados en carpetas denominadas "faces" (rostros) y "profiles" (perfiles), podían accederse mediante una URL incluida en el código fuente del sitio web de la propia compañía. Fowler estima que la vulnerabilidad permaneció abierta durante meses y que sus primeros intentos de alertar a ClarityCheck fueron ignorados. La brecha fue corregida únicamente después de que Wired contactara a la empresa en julio.
ClarityCheck forma parte de una creciente categoría de servicios conocidos como "people-finder tools" (herramientas de búsqueda de personas), que prometen identificar individuos a partir de números telefónicos, correos electrónicos, nombres o fotografías. Su página de búsqueda por imagen asegura poder "identificar a cualquier persona en una foto" y encontrar perfiles en redes sociales "en segundos". Aunque el sitio exige que el usuario declare tener autorización para subir las fotos, Fowler advierte que las personas retratadas difícilmente dieron su consentimiento: la lógica del servicio es justamente descubrir quién aparece en una imagen.
"Si estás tratando de averiguar quién es una persona, es posible que no tengas autorización. La gente quizá no sabía que su imagen estaba siendo volcada en esta base de datos que era pública", declaró el investigador a Wired. "Un bot de inteligencia artificial podría recorrerla, extraer rostros y utilizarlos para entrenamiento. Y hay muchas fotos de niños ahí."
Además del archivo fotográfico, la compañía expuso datos personales debido a una mala configuración de sus API. Manipulando las direcciones URL del sitio era posible introducir un nombre y obtener múltiples correos electrónicos, direcciones físicas y teléfonos asociados. Según la empresa, esta información provenía de "proveedores de datos públicos y terceros licenciados". Tras la notificación, los enlaces fueron asegurados.
La compañía rechazó el término "exposición pública" y sostuvo que un "miembro ordinario del público" no habría encontrado los archivos, ya que el acceso requería conocer una URL específica no indexada. "No aceptamos que los datos en la ubicación de almacenamiento temporal estuvieran públicamente expuestos, lo que implica acceso público a gran escala", señaló un portavoz. La empresa también cuestionó la cifra de nueve millones, argumentando que el conjunto incluye duplicados, recortes y versiones redimensionadas, por lo que no serían imágenes únicas.
Sin embargo, especialistas en ciberseguridad discrepan. Mark Beare, jefe de productos de consumo de Malwarebytes, explicó a Wired que la industria considera "expuesto" cualquier dato accesible para personas no autorizadas, especialmente si se encuentra en internet abierto sin autenticación. "Una base de datos reachable públicamente, un bucket mal configurado o credenciales accesibles para un investigador son todas exposiciones", afirmó.
El caso ilustra un problema sistémico. Rebecca Williams, directora de estrategia de privacidad y gobernanza de datos de la Unión Americana de Libertades Civiles (ACLU), advirtió que los sistemas basados en información personal altamente sensible seguirán cargando estos riesgos, "incluso con prácticas más sólidas de minimización y seguridad, porque el modelo mismo depende de recolectar datos sensibles".
Para Fowler, el valor de estas imágenes filtradas va más allá de la privacidad convencional. "Si yo estuviera en una organización criminal haciendo catfishing, podría revisar todas esas fotos, elegir a veinte personas atractivas y usar su imagen con IA para crear una persona", alertó. Las posibilidades de suplantación mediante deepfakes y fraudes con identidades sintéticas se multiplican cuando los datos biométricos quedan sin protección.
En su declaración, ClarityCheck agradeció la notificación del investigador, aseguró haber actuado "de inmediato" para restringir el acceso y afirmó haber mejorado sus procedimientos de reporte de seguridad para que futuros hallazgos puedan comunicarse con mayor agilidad.
El episodio se suma a una serie de exposiciones accidentales de datos que, según expertos, se han vuelto lamentablemente comunes. A medida que las plataformas digitales ofrecen capacidades automatizadas cada vez más sofisticadas para recopilar y analizar información personal sensible, las consecuencias de una mala configuración crecen de forma proporcional. Las fotografías de rostros, a diferencia de una contraseña, no pueden cambiarse: una vez filtradas, permanecen en circulación de manera permanente, alimentando riesgos de suplantación, acoso, fraude y entrenamiento no autorizado de modelos de inteligencia artificial.
Por ahora, ClarityCheck asegura que no hay evidencia de acceso malicioso y que la información comprometida ya no es accesible. Sin embargo, el caso deja abierta una pregunta de fondo: ¿deberían servicios comerciales almacenar millones de rostros sin un marco regulatorio más estricto que obligue a protegerlos con el mismo celo que cualquier otra infraestructura crítica?