Un service de recherche par visage laisse 9 millions de photos à la vue de tous

Quand on téléverse une photo sur ClarityCheck, le site affiche un message limpide : « Votre recherche d'image inversée est privée et sécurisée. » Les travaux du chercheur indépendant Jeremiah Fowler racontent autre chose.

La base exposée contenait environ 450 Go d'images, soit plus de 9 millions de fichiers : photos de profil, captures d'écran et clichés d'adultes, d'adolescents et d'enfants. Le tout dans un stockage Amazon S3 non sécurisé, rangé dans des dossiers nommés « faces » et « profiles », accessible à qui voulait via une adresse figurant dans le code public du site.

Une seconde erreur de configuration exposait par ailleurs des adresses e-mail et des numéros de téléphone : il suffisait de saisir un nom dans une adresse du site, depuis n'importe quel navigateur, pour obtenir plusieurs e-mails, adresses postales et numéros correspondants.

Le problème n'est pas la fuite, c'est le métier

ClarityCheck appartient à la famille des outils de recherche de personnes. Le site annonce pouvoir effectuer des recherches sur des numéros de téléphone, des adresses e-mail, des numéros d'identification de véhicules et des noms. Sa page de recherche par photo promet d'« identifier n'importe qui sur une photo » et de retrouver ses profils sociaux « en quelques secondes ».

Le site exige des utilisateurs qu'ils attestent avoir l'autorisation de téléverser les photos. Fowler pointe l'évidence :

Si vous cherchez à savoir qui est une personne, vous n'avez peut-être ni autorisation ni permission, donc les gens peuvent ne pas savoir que leur image a été déversée dans cette base qui était publique. Un robot d'IA pouvait la parcourir, en extraire les visages et s'en servir pour de l'entraînement. Et il y a beaucoup de photos d'enfants là-dedans.

Le désaccord sur le mot « exposées »

L'entreprise a sécurisé la base après avoir été contactée par Wired en juillet, mais conteste la qualification. Un porte-parole affirme qu'un « membre ordinaire du public » ne serait pas tombé dessus :

Nous n'acceptons pas que les données situées dans un emplacement de stockage temporaire aient été « exposées publiquement », ce qui impliquerait un accès public à grande échelle. L'accès exigeait la connaissance d'une adresse spécifique, non indexée.

L'industrie de la sécurité, comme le gouvernement fédéral américain, retient une définition différente : une donnée est exposée dès lors qu'elle est accessible à des personnes qui ne devraient pas y avoir accès, en particulier si elle est atteignable sur l'Internet ouvert sans authentification.

Mark Beare, de Malwarebytes, la formule ainsi : « L'exposition est l'état dans lequel une donnée personnelle ou sensible a été laissée accessible, découvrable ou autrement mise en risque d'accès non autorisé, que quelqu'un s'en soit déjà emparé ou non. »

L'entreprise ajoute qu'il n'y a « aucune indication d'accès malveillant » et que le décompte de 9 millions inclut des doublons, des recadrages et des redimensionnements du même fichier. Fowler avertit de son côté que la base semblait exposée depuis des mois, et que ses premières tentatives d'alerte sont restées sans réponse.

Le risque concret

Pourquoi des photos valent-elles plus qu'avant ? Fowler donne un scénario qui n'a rien de théorique : « Disons que je fasse partie d'un réseau criminel et que je pratique l'arnaque sentimentale — je fais défiler toutes ces photos, je sélectionne les vingt personnes les plus séduisantes, et j'utilise leur image plus l'IA pour créer un personnage. »

Rebecca Williams, de l'ACLU, élargit le constat au modèle économique lui-même : « Les systèmes qui reposent sur des informations personnelles hautement sensibles pour vérifier des individus continueront de porter ces risques, même avec une minimisation des données et des pratiques de sécurité renforcées, parce que le modèle lui-même dépend de la collecte de données sensibles. »

Source

Ars Technica, « Reverse-lookup service exposed millions of photos of people's faces », par Lily Hay Newman et Matt Burgess, article initialement paru sur Wired.com, 20 août 2026.