Le chercheur en sécurité Jeremiah Fowler a découvert un bucket Amazon S3 de 450,2 Go contenant 9 042 977 fichiers d'images de visages, répartis dans deux dossiers, faces et profiles. Le bucket ne disposait d'aucun contrôle d'accès, et l'adresse de récupération était inscrite directement dans le code front-end du site web du fournisseur lui-même — quiconque possédait l'URL pouvait télécharger les fichiers. Ars Technica a révélé cette fuite le 20 août.
Le fournisseur s'appelle ClarityCheck et propose un service de recherche faciale inversée : l'utilisateur télécharge une photo, le système scanne les points de repère du visage, cartographie la géométrie faciale, puis la compare à des images provenant de tout le web, avant de produire un rapport pouvant inclure nom, adresse et comptes sur les réseaux sociaux ; les rapports plus poussés sont payants. Le profil des utilisateurs de ce type d'outil est assez clair — vouloir savoir qui est vraiment son rendez-vous, ou démasquer la personne derrière un compte anonyme.
Ce qui a fuité, ce ne sont pas que des visages
Une autre erreur de configuration a également exposé des e-mails, numéros de téléphone, adresses physiques, historiques de localisation et profils de réseaux sociaux. Fowler décrit un fonds de photos incluant des adultes, des adolescents et des enfants, et livre ce constat :
"AI bots could crawl and scrape faces for training. There were a lot of photos of children there."
Des robots d'IA pourraient explorer et récupérer ces visages pour de l'entraînement. Il y avait énormément de photos d'enfants là-dedans.
Un visage n'est pas comme un mot de passe : une fois divulgué, il ne peut pas être changé. Une carte bancaire peut être remplacée, un mot de passe réinitialisé, mais la géométrie faciale accompagne une personne toute sa vie. Une fois ces données copiées, elles peuvent servir à une identification non autorisée, à un suivi entre plateformes, ou de matière première pour des escroqueries.
L'entreprise affirme que ce n'est pas une exposition
ClarityCheck conteste le terme d'« exposition publique », arguant que le grand public ne pourrait pas trouver ces fichiers, car y accéder suppose de connaître une URL précise et non indexée, qui n'apparaît ni dans l'usage normal du service ni dans une recherche web ordinaire.
Le problème, c'est que cette adresse était inscrite en clair dans le code public du site de l'entreprise elle-même. La sécurité reposait uniquement sur le fait que « personne n'irait fouiller le code source du front-end », ce qui n'a rien à voir avec la mise en place de permissions d'accès. La définition de Mark Beare, responsable des produits grand public chez Malwarebytes, est bien plus directe : une exposition désigne le fait que des données personnelles sensibles se trouvent dans un état accessible, découvrable, ou exposé à un risque d'accès non autorisé.
La chronologie n'arrange rien non plus. Selon les informations disponibles, la base de données serait restée ouverte pendant des mois avant d'être verrouillée ; le premier signalement de Fowler à l'entreprise est resté sans réponse, et le bucket n'a été fermé qu'après que WIRED a contacté l'entreprise en juillet.
Le calcul de ce modèle économique lui-même
Rebecca Williams, de l'American Civil Liberties Union (ACLU), pointe le schéma lui-même : les systèmes qui s'appuient sur des informations personnelles hautement sensibles pour vérifier une identité continuent de porter ces risques, même avec une meilleure minimisation des données et des pratiques de sécurité renforcées.
Cette remarque met le doigt sur une contradiction structurelle incontournable. La valeur commerciale d'un service de recherche faciale inversée provient de la taille de la bibliothèque d'images qu'il détient — plus elle est grande, plus le taux de correspondance est élevé, plus le produit se vend bien. L'ampleur est à la fois un atout et une surface de risque, et les deux croissent dans le même sens, difficiles à dissocier par un simple renforcement ponctuel. Des produits similaires ont déjà été visés à plusieurs reprises par les régulateurs européens pour leur traitement des données biométriques ; aux États-Unis, hormis les lois biométriques de quelques États comme l'Illinois, il n'existe aucune contrainte fédérale unifiée.
Pour le grand public s'ajoute une autre couche : la plupart des photos de cette fuite n'ont pas été confiées à ClarityCheck par les personnes elles-mêmes, mais téléversées par des utilisateurs ayant payé pour enquêter sur quelqu'un, la personne recherchée n'en ayant jamais rien su. Cette séparation entre le sujet des données et celui qui les fournit rend, dans les faits, quasiment impossible de « notifier les utilisateurs concernés ».
Sources : Ars Technica, Malwarebytes Security Blog, CocoLoop, Biometric Update ; le nombre d'images et la capacité du bucket ont été recoupés auprès de plusieurs sources, convergeant sur 9 042 977 photos et 450,2 Go ; la réponse de l'entreprise est citée de sa déclaration écrite transmise aux médias.