TL;DR: O serviço de busca reversa ClarityCheck expôs mais de 9 milhões de imagens – incluindo rostos de adultos, adolescentes e crianças – ao deixar um bucket da Amazon S3 sem proteção, gerando risco de privacidade para usuários no Brasil e no mundo.
O que aconteceu com o ClarityCheck?
O ClarityCheck, plataforma que promete identificar pessoas a partir de fotos, e‑mails ou números de telefone, acabou divulgando um volume gigantesco de arquivos de imagem. Segundo o pesquisador independente Jeremiah Fowler, cerca de 450 GB de fotos foram armazenados em um bucket da Amazon S3 sem qualquer controle de acesso. Qualquer pessoa que conhecesse o endereço URL poderia baixar as imagens, que estavam organizadas em pastas nomeadas “faces” e “profiles”.
Como a falha expôs milhões de fotos?
A vulnerabilidade surgiu porque o código‑fonte do site continha o link direto para o bucket. Como o bucket estava configurado como público, os arquivos ficaram acessíveis sem necessidade de autenticação. Além das fotos, outra configuração errada revelou endereços de e‑mail e números de telefone associados aos mesmos usuários.
Quais são os riscos para os usuários brasileiros?
Para quem mora no Brasil, a exposição de imagens faciais tem implicações sérias:
- Roubo de identidade: fotos de documentos ou selfies podem ser usadas em golpes de engenharia social.
- Assédio online: imagens de menores, quando vazadas, aumentam a vulnerabilidade a abusos digitais.
- Perda de controle sobre dados pessoais: a Lei Geral de Proteção de Dados (LGPD) exige que empresas guardem informações sensíveis com segurança; a falha do ClarityCheck viola esse princípio.
Mesmo que o usuário nunca tenha enviado a foto ao serviço, a própria premissa da ferramenta – “identificar qualquer pessoa em segundos” – pode gerar uploads não autorizados, ampliando o alcance da violação.
O que a empresa fez para corrigir o problema?
Após ser notificada pela WIRED em julho, o ClarityCheck restringiu o acesso ao bucket e removeu os arquivos públicos. Contudo, Fowler alerta que o vazamento pode ter durado vários meses antes de ser detectado, e que as cópias já distribuídas não podem ser recuperadas. A empresa ainda não divulgou um comunicado oficial detalhado, nem informou se pretende adotar auditorias de segurança mais rígidas.
Como evitar ser vítima de serviços de busca reversa?
Os usuários podem adotar medidas preventivas simples:
- Desconfie de sites que pedem permissão para analisar fotos de terceiros; verifique a política de privacidade antes de usar.
- Utilize ferramentas de monitoramento de identidade, como alertas de uso indevido de imagens.
- Reforce a segurança das suas contas nas redes sociais, limitando quem pode ver suas fotos de perfil.
- Denuncie serviços que não oferecem transparência ou que não respondem a solicitações de remoção de dados.
O que falta saber?
Embora o ClarityCheck tenha fechado o acesso ao bucket, ainda não há clareza sobre quantas cópias das imagens foram baixadas ou redistribuídas. A comunidade de segurança recomenda que usuários afetados procurem orientação jurídica, especialmente se houver menores envolvidos. Além disso, o caso reforça a necessidade de auditorias regulares em serviços que lidam com dados biométricos, algo que ainda é pouco discutido no Brasil.
Onde isso pode dar?
O vazamento do ClarityCheck pode servir de alerta para outras startups que oferecem buscas reversas ou serviços de verificação de identidade. Se a prática de armazenar imagens em buckets públicos continuar, veremos mais incidentes semelhantes, pressionando reguladores a exigir compliance mais rigoroso com a LGPD. Para o público geek, a lição é clara: nem toda ferramenta “gratuita” ou “rápida” protege seus dados; a curiosidade pode custar a privacidade.
