Une exposition massive de données biométriques mise au jour

Un chercheur en cybersécurité a découvert une base de données cloud non sécurisée contenant plus de 9 millions d'images faciales liées à ClarityCheck, un service américain de recherche d'images inversée et de vérification d'identité. Selon les informations rapportées sur cette découverte, le chercheur Jeremiah Fowler a trouvé la base de données exposée, d'une taille d'environ 450,2 Go, contenant environ 9 042 977 images faciales ainsi que des données de profil associées.

La base de données était laissée sans chiffrement et sans protection par mot de passe, ce qui signifie que toute personne tombant dessus en ligne pouvait potentiellement accéder aux enregistrements biométriques qu'elle contenait. Étant donné que le modèle économique de ClarityCheck repose sur la vérification d'identité et la mise en correspondance des visages sur le Web, les données exposées comprenaient probablement non seulement des photos brutes, mais aussi des informations de profil liées à de véritables identités, ce qui augmente considérablement l'enjeu par rapport à une fuite classique d'e-mails ou de mots de passe.

Pourquoi les bases de données mal configurées continuent de provoquer des fuites massives

Cet incident s'inscrit dans un schéma devenu inquiétant de fréquent dans le monde de la sécurité des données : une base de données cloud mal configurée et non sécurisée. Alors que les entreprises s'appuient de plus en plus sur le stockage cloud pour héberger des données sensibles concernant leurs employés, partenaires et clients, la commodité d'un accès facile et de l'intégration avec les outils d'analyse commerciale se fait souvent au détriment d'une configuration de sécurité adéquate. Une base de données laissée ouverte sans exigence d'authentification est en réalité publique, quelle que soit la sensibilité de son contenu.

Ce qui rend cette exposition particulière notable, c'est la nature des données concernées. Les mots de passe peuvent être réinitialisés. Les numéros de carte de crédit peuvent être annulés et réémis. Mais une image faciale est permanente. Une fois que des données biométriques comme celles-ci sont exposées, il n'existe aucun moyen de changer votre visage comme on changerait un mot de passe compromis. Cette permanence est ce qui distingue les fuites de reconnaissance faciale des violations de données plus courantes, et c'est pourquoi les chercheurs en sécurité et les défenseurs de la vie privée traitent les expositions biométriques avec un niveau de préoccupation accru.

L'ampleur de cette fuite est également frappante. Neuf millions d'images représentent un volume considérable pour un service bâti autour de la vérification d'identité, un secteur où l'ensemble de la proposition de valeur repose sur la confiance que les données traitées sont gérées en toute sécurité. Lorsqu'une entreprise de vérification d'identité devient elle-même la source d'une fuite, cela sape le principe même sur lequel repose l'industrie.

Ce n'est pas la première fois récemment qu'une grande quantité d'enregistrements liés à des plateformes grand public bien connues se retrouve exposée ou volée. Les violations touchant des détaillants et d'autres grandes marques, comme les incidents ayant affecté Zara, Carnival et 7-Eleven, ont montré à quelle vitesse des millions d'enregistrements clients peuvent être compromis par l'intermédiaire de fournisseurs tiers ou de systèmes non sécurisés. Dans un autre cas, les e-mails de clients de Zara ont été exposés lors d'une violation par un tiers, soulignant à quel point les données peuvent être vulnérables même lorsqu'elles transitent par des fournisseurs en qui une entreprise a confiance. L'exposition de ClarityCheck ajoute les données biométriques à cette liste croissante de catégories d'informations sensibles menacées par des négligences de sécurité élémentaires.

Ce que cela signifie pour vous

Si vous avez déjà utilisé un outil de recherche d'images inversée, soumis une photo pour une vérification d'identité, ou si votre image a été extraite et indexée par un service comme ClarityCheck sans que vous le sachiez directement, cette fuite rappelle à quel point la plupart des gens ont peu de contrôle sur l'endroit où aboutissent leurs données faciales. Contrairement à une violation de données concernant un service auquel vous vous êtes inscrit directement, de nombreuses personnes affectées par des fuites de reconnaissance faciale n'ont jamais consenti à ce que leur image soit collectée ou vérifiée en premier lieu.

Le risque pratique inclut le vol d'identité, puisque des images faciales combinées à des données de profil peuvent être utilisées pour créer de fausses identités convaincantes ou contourner les systèmes de vérification faciale utilisés par les banques et d'autres institutions. Cela soulève également des préoccupations concernant la surveillance et le profilage non autorisé, car une fois les images exposées en ligne, elles peuvent être copiées, extraites et réutilisées indéfiniment.

Mesures concrètes à prendre

Bien que vous ne puissiez pas effacer une photo de votre propre visage d'Internet, certaines mesures valent la peine d'être prises. Vérifiez si votre image apparaît dans les résultats de recherche d'images inversée pour votre nom, et demandez le retrait des sites de courtage de données ou d'annuaires de personnes lorsque c'est possible. Activez l'authentification multifacteur qui ne repose pas uniquement sur la reconnaissance faciale pour les comptes critiques comme les services bancaires. Soyez prudent quant aux applications et services qui demandent des scans faciaux, et lisez les politiques de confidentialité pour comprendre combien de temps les données biométriques sont conservées. Enfin, surveillez les services de surveillance d'identité qui peuvent vous alerter si vos informations personnelles, y compris les identifiants biométriques, apparaissent lors de futures violations.

À mesure que les outils de reconnaissance faciale et de vérification d'identité s'intègrent davantage dans la vie numérique quotidienne, des incidents comme l'exposition de ClarityCheck mettent en évidence pourquoi les entreprises qui manipulent des données biométriques ont besoin de bases de sécurité plus solides, et pourquoi les utilisateurs doivent rester informés sur l'endroit où leurs données les plus personnelles, leur propre visage, finissent par être stockées.