Peneliti keamanan Jeremiah Fowler menemukan bucket Amazon S3 berkapasitas 450,2GB yang berisi 9.042.977 file gambar wajah, terbagi dalam dua folder bernama faces dan profiles. Bucket ini sama sekali tidak memiliki kontrol akses, dan alamat untuk mengambil datanya tertulis langsung di kode front-end situs milik penyedia layanan itu sendiri — siapa pun yang mendapatkan URL-nya bisa mengunduh semuanya. Ars Technica melaporkan kebocoran ini pada 20 Agustus.
Penyedia layanan ini bernama ClarityCheck, yang menawarkan pencarian wajah terbalik: unggah satu foto, lalu sistem akan memindai titik-titik fitur wajah, memetakan struktur geometris wajah, dan mencocokkannya dengan gambar-gambar di seluruh web. Hasilnya berupa laporan yang bisa mencakup nama, alamat, dan akun media sosial, sementara laporan yang lebih rinci dikenakan biaya. Profil penggunanya cukup jelas — orang yang ingin tahu siapa sebenarnya calon pasangan kencannya, atau ingin membongkar identitas di balik akun anonim.
Yang bocor bukan cuma wajah
Kesalahan konfigurasi lain juga membuka akses ke email, nomor telepon, alamat fisik, riwayat lokasi, dan profil media sosial. Fowler mengatakan foto-foto dalam basis data itu mencakup orang dewasa, remaja, hingga anak-anak, dan ia memberikan penilaian yang blak-blakan:
"AI bots could crawl and scrape faces for training. There were a lot of photos of children there."
(Artinya: bot AI bisa merayapi dan mengumpulkan wajah-wajah ini untuk data pelatihan. Ada banyak sekali foto anak-anak di dalamnya.)
Wajah berbeda dari kata sandi — begitu bocor, tidak bisa diganti. Kartu bank bisa diterbitkan ulang, kata sandi bisa direset, tapi struktur geometris wajah akan melekat pada seseorang seumur hidup. Begitu data semacam ini disalin, penggunaannya bisa berupa identifikasi tanpa izin, pelacakan lintas platform, atau bahan untuk penipuan.
Perusahaan bilang ini bukan kebocoran
ClarityCheck menolak istilah "kebocoran publik", dengan alasan masyarakat umum tidak akan bisa menemukan file-file ini karena aksesnya membutuhkan URL khusus yang tidak terindeks, dan alamat itu tidak akan muncul lewat penggunaan normal layanan maupun pencarian web biasa.
Masalahnya, alamat itu justru tertulis di kode publik situs mereka sendiri. Keamanan di sini sepenuhnya bergantung pada asumsi "tidak ada orang yang akan membuka kode sumber front-end" — dan itu sama sekali berbeda dengan benar-benar mengatur izin akses. Mark Beare, kepala produk konsumen di Malwarebytes, memberikan definisi yang jauh lebih tegas: kebocoran berarti data pribadi sensitif berada dalam kondisi bisa diakses, bisa ditemukan, atau berisiko diakses tanpa izin.
Lini masanya juga tidak menggembirakan. Basis data ini dilaporkan sudah terbuka selama berbulan-bulan sebelum akhirnya dikunci. Laporan awal Fowler ke perusahaan tidak mendapat tanggapan, dan bucket itu baru ditutup setelah WIRED menghubungi perusahaan pada Juli.
Hitungan untuk model bisnis itu sendiri
Rebecca Williams dari American Civil Liberties Union (ACLU) menunjuk pada pola dasarnya: sistem yang bergantung pada informasi pribadi yang sangat sensitif untuk memverifikasi identitas seseorang tetap membawa risiko ini, seberapa pun kuatnya minimisasi data dan penguatan keamanan yang diterapkan.
Ini menunjukkan kontradiksi struktural yang sulit dihindari. Nilai komersial layanan pencarian wajah terbalik berasal dari ukuran pustaka gambar yang dimilikinya — semakin besar pustakanya, semakin tinggi tingkat kecocokannya, dan semakin laku produknya. Skala sekaligus menjadi aset dan permukaan risiko, dan keduanya tumbuh bersamaan, sehingga sulit dipisahkan hanya dengan satu perbaikan. Produk sejenis di Eropa berulang kali menjadi sorotan regulator terkait penanganan data biometrik; di Amerika Serikat, selain undang-undang privasi biometrik di beberapa negara bagian seperti Illinois, tidak ada aturan terpadu di tingkat federal.
Bagi masyarakat umum, ada lapisan masalah lain: sebagian besar foto dalam kebocoran ini bukan diserahkan sendiri oleh orang yang ada di dalamnya kepada ClarityCheck. Yang mengunggah adalah pengguna berbayar yang sedang mencari seseorang, sementara orang yang dicari sama sekali tidak tahu apa-apa. Terpisahnya subjek data dari pihak yang mengunggah data membuat "memberi tahu pengguna yang terdampak" nyaris mustahil dilakukan secara praktis.
Sumber: Ars Technica, Malwarebytes Labs, CocoLoop, Biometric Update; jumlah foto dan kapasitas bucket telah diperiksa silang dari beberapa sumber dan konsisten di angka 9.042.977 foto serta 450,2GB, sementara tanggapan perusahaan dikutip dari pernyataan tertulisnya kepada media.