Exposition d'images faciales de ClarityCheck

Le 20 août 2026, le chercheur en sécurité Jeremiah Fowler a rapporté publiquement que ClarityCheck — un service américain de recherche faciale et de recherche inversée qui se présentait comme « privé et sécurisé » — avait laissé un trésor d'images non sécurisé dans un compartiment Amazon S3 accessible au public. Le stockage exposé contenait environ 450 Go d'images, comprenant plus de 9 millions de fichiers image, dont des photographies d'adultes, d'adolescents et d'enfants.

Les images se trouvaient dans un compartiment S3 dont le contenu était accessible à quiconque en ligne via une URL figurant dans le code du site web public de l'entreprise, les fichiers étant organisés dans des dossiers nommés « faces » et « profiles ». Une seconde base de données mal configurée exposait en outre des adresses e-mail et des numéros de téléphone. Aucun attaquant ni rançon n'étaient impliqués — il s'agissait d'une erreur de configuration ayant laissé des données proches du biométrique ouvertes à l'Internet public.

Ce qui s'est passé

Selon Fowler, il a passé des mois à tenter d'alerter ClarityCheck sur le compartiment d'images exposé et sur la seconde base de données, sans obtenir de réponse jusqu'à ce qu'un journaliste intervienne ; l'entreprise a finalement verrouillé l'accès à la suite de cette sollicitation en juillet. Les données sont désormais sécurisées, mais Fowler a noté qu'elles auraient été exposées pendant des mois, et il n'est pas possible de confirmer si des acteurs malveillants y ont accédé durant cette période.

Parce que le service est un outil de recherche faciale inversée, les images exposées sont précisément le type de données qui permet d'identifier et de suivre des individus à partir d'une seule photo — un préjudice à la vie privée distinct, et à certains égards plus grave, qu'une fuite classique d'identifiants. La présence d'images de mineurs a aggravé l'inquiétude.

Impact

• Environ 450 Go d'images — plus de 9 millions de fichiers, dont des photos d'enfants — ont été laissés dans un compartiment S3 non sécurisé et accessible au public.
• Une seconde base de données mal configurée exposait des adresses e-mail et des numéros de téléphone.
• Les données auraient été exposées pendant des mois ; l'accès n'a été sécurisé qu'après la sollicitation d'un journaliste, et l'on ignore si des acteurs malveillants y ont accédé.

Pourquoi c'est important

L'exposition de ClarityCheck rappelle brutalement que la mauvaise configuration du cloud demeure l'une des causes les plus fréquentes et lourdes de conséquences de fuites de données sensibles — aucun exploit nécessaire, juste un compartiment laissé ouvert. Lorsque les données concernées sont des images faciales liées à un service de recherche inversée, les enjeux de vie privée sont particulièrement élevés : de telles images peuvent servir à identifier et profiler des personnes qui n'ont jamais consenti à figurer dans la base. Le cas souligne aussi la valeur de la divulgation coordonnée des vulnérabilités et la fréquence avec laquelle les chercheurs sont ignorés jusqu'à ce que l'attention de la presse force une réponse.