जब कोई व्यक्ति-सर्च टूल क्लैरिटीचेक पर कोई फोटो अपलोड करता है, तो वेबसाइट पर एक स्पष्ट संदेश होता है: "आपकी रिवर्स इमेज सर्च निजी और सुरक्षित है।" हालाँकि, नए शोध से पता चलता है कि वेबसाइट ने 9 मिलियन से अधिक छवि फ़ाइलें, जिनमें लोगों के चेहरों की तस्वीरें भी शामिल थीं, सार्वजनिक रूप से उजागर कर दीं। और दूसरी ग़लत कॉन्फ़िगरेशन ने लोगों के ईमेल पते और फ़ोन नंबर सार्वजनिक रूप से उजागर कर दिए।

कुल मिलाकर, स्वतंत्र सुरक्षा शोधकर्ता जेरेमिया फाउलर के निष्कर्षों के अनुसार, उजागर क्लैरिटीचेक डेटाबेस में लगभग 450 जीबी छवियां थीं, जिनमें प्रोफ़ाइल छवियां, स्क्रीनशॉट और वयस्कों, किशोरों और बच्चों की अन्य तस्वीरें शामिल थीं। सभी छवियों को एक असुरक्षित अमेज़न S3 बकेट में संग्रहीत किया गया था, जिसमें "चेहरे" और "प्रोफ़ाइल" नामक फ़ोल्डरों में फ़ाइलें थीं, जिन्हें कंपनी के सार्वजनिक रूप से उपलब्ध वेबसाइट कोड में शामिल URL के माध्यम से ऑनलाइन कोई भी व्यक्ति एक्सेस कर सकता था।

क्लैरिटीचेक उन तथाकथित लोगों-खोज उपकरणों में से एक है जो हाल के वर्षों में ऑनलाइन दिखाई दिए हैं। ये वेबसाइटें मोटे तौर पर व्यक्तियों की पहचान करने के लिए वेब, सार्वजनिक रिकॉर्ड और अन्य डेटाबेस में खोज करने में सक्षम होने का दावा करती हैं। क्लैरिटीचेक की वेबसाइट का कहना है कि यह फ़ोन नंबर, ईमेल पते, वाहन पहचान संख्या और नामों पर खोज चला सकता है। इसका फोटो-खोज पृष्ठ कहता है कि यह "फोटो में किसी को भी पहचानने" और "सेकेंड में सोशल मीडिया प्रोफाइल ढूंढने" में मदद कर सकता है।

जबकि जुलाई में WIRED द्वारा कंपनी से संपर्क करने के बाद क्लैरिटीचेक ने विशाल छवि डेटाबेस को सुरक्षित कर लिया, फाउलर ने चेतावनी दी कि ऐसा प्रतीत होता है कि यह महीनों तक उजागर रहा था, और कंपनी को समस्या बताने के उनके शुरुआती प्रयास असफल रहे थे। आकस्मिक डेटा एक्सपोज़र किसी भी व्यक्तिगत जानकारी के लिए जोखिम पैदा करता है, लेकिन विशेष रूप से चेहरे की छवियों जैसे संवेदनशील और अपरिवर्तनीय बायोमेट्रिक डेटा के लिए।

और जबकि क्लैरिटीचेक की वेबसाइट के लिए लोगों को यह प्रमाणित करने की आवश्यकता होती है कि उनके पास इसकी साइट पर तस्वीरें अपलोड करने की अनुमति है, फाउलर बताते हैं कि व्यवहार में, जिन लोगों के चेहरे उजागर हुए थे, उन्हें शायद इस बात का अंदाजा नहीं था कि क्लैरिटीचेक ने उनकी छवि रखी है। आख़िरकार, उन्होंने नोट किया, सेवा स्पष्ट रूप से पहचान के लिए डिज़ाइन की गई है, और लोग आम तौर पर खुद को या अपने जानने वाले लोगों की पहचान करने की कोशिश नहीं करते हैं।

"यदि आप यह पता लगाने की कोशिश कर रहे हैं कि कोई व्यक्ति कौन है, तो आपके पास प्राधिकरण या अनुमति नहीं हो सकती है, इसलिए लोगों को यह नहीं पता चल सकता है कि उनकी छवि इस डेटाबेस में डंप कर दी गई थी जो सार्वजनिक थी," फाउलर ने WIRED को बताया। "एक AI बॉट इसे क्रॉल कर सकता है, चेहरे निकाल सकता है और प्रशिक्षण के लिए उनका उपयोग कर सकता है। और वहां बच्चों की बहुत सारी तस्वीरें हैं।"

WIRED को भेजे गए एक बयान में, एक प्रवक्ता ने कहा कि क्लैरिटीचेक ने कंपनी को मुद्दों के बारे में सचेत करने के फाउलर के प्रयासों की सराहना की। प्रवक्ता ने कहा, "एक बार जब यह उचित टीमों के ध्यान में लाया गया, तो हमने पहुंच को प्रतिबंधित करने के लिए तुरंत कार्रवाई की।"

कंपनी ने डेटा के "उजागर" होने की किसी भी विशेषता पर विवाद करते हुए कहा कि "जनता का एक सामान्य सदस्य" इसके संपर्क में नहीं आया होगा। प्रवक्ता का कहना है, "हम यह स्वीकार नहीं करते हैं कि अस्थायी भंडारण स्थान में डेटा 'सार्वजनिक रूप से उजागर' किया गया था, जिसका अर्थ बड़े पैमाने पर सार्वजनिक पहुंच है।" "एक विशिष्ट, अनइंडेक्स्ड यूआरएल के ज्ञान तक पहुंच आवश्यक है जिसे क्लैरिटीचेक सेवा या सामान्य वेब खोज के सामान्य उपयोग के माध्यम से खोजा नहीं जा सकता था।"

सुरक्षा उद्योग मोटे तौर पर, साथ ही विशेष रूप से अमेरिकी संघीय सरकार, डेटा को उजागर करने पर विचार करती है यदि इसे उन लोगों द्वारा एक्सेस किया जा सकता है जिनके पास एक्सेस करने का इरादा नहीं है - विशेष रूप से यदि यह उपयोगकर्ता नाम और पासवर्ड जैसी प्रमाणीकरण आवश्यकता द्वारा संरक्षित किए बिना खुले इंटरनेट पर पहुंच योग्य है। सुरक्षा कंपनी मालवेयरबाइट्स में उपभोक्ता उत्पादों के प्रमुख मार्क बेयर कहते हैं, "एक्सपोज़र वह स्थिति है जिसमें व्यक्तिगत या संवेदनशील डेटा को पहुंच योग्य, खोजने योग्य छोड़ दिया गया है, या अन्यथा अनधिकृत पहुंच के खतरे में डाल दिया गया है, भले ही किसी ने इसे अभी तक लिया हो या दुरुपयोग किया हो।" "एक सार्वजनिक रूप से पहुंच योग्य डेटाबेस बैकअप, एक गलत कॉन्फ़िगर की गई स्टोरेज बकेट, या एक सिस्टम में बैठे क्रेडेंशियल जिस तक एक शोधकर्ता पहुंच सकता है, ये सभी एक्सपोज़र हैं।"

क्लैरिटीचेक बयान जारी रहा, "जैसा कि शोधकर्ता ने नोट किया है, दुर्भावनापूर्ण पहुंच का कोई सुझाव नहीं है।" "इसमें शामिल डेटा में गैर-छवि डेटा के साथ-साथ समान फ़ाइलों की डुप्लिकेट, क्रॉप और आकार की प्रतियां शामिल हैं, न कि 9 मिलियन अद्वितीय छवियां।"

कंपनी ने कहा कि उसने भविष्य में अन्य शोधकर्ताओं को कंपनी से संपर्क करने में मदद करने के लिए अपनी सुरक्षा रिपोर्टिंग प्रक्रियाओं में "सुधार" किया है।

चेहरे के डेटा के अलावा, क्लैरिटीचेक ने अपने एपीआई को भी गलत तरीके से कॉन्फ़िगर किया था, ताकि इसके वेबसाइट यूआरएल को केवल नाम दर्ज करके लोगों के बारे में डेटा प्रकट करने के लिए हेरफेर किया जा सके; किसी भी उपभोक्ता ब्राउज़र का उपयोग करने वाला कोई भी व्यक्ति ऐसा कर सकता था। किसी एक यूआरएल में नाम दर्ज करने से उस नाम वाले लोगों के लिए कई संभावित ईमेल पते, भौतिक पते और फोन नंबर वापस आ जाएंगे। WIRED द्वारा कंपनी से संपर्क करने के बाद, यूआरएल सुरक्षित कर लिए गए। क्लैरिटीचेक के प्रवक्ता ने बयान में कहा कि प्रदर्शित विवरण "सार्वजनिक रूप से उपलब्ध जानकारी और लाइसेंस प्राप्त तृतीय-पक्ष डेटा प्रदाताओं से प्राप्त किए गए थे।"

क्लैरिटीचेक की चेहरा-खोज सुविधा लोगों को एक छवि अपलोड करने और फिर एक "रिपोर्ट" प्राप्त करने की अनुमति देती है कि वह छवि ऑनलाइन कहां दिखाई दे सकती है और फोटो में किसे दिखाया जा सकता है। जब एक WIRED रिपोर्टर ने अपने स्वयं के चेहरे की छवि का उपयोग करके सिस्टम का परीक्षण किया, तो वेबसाइट ने कहा कि यह "चेहरे के स्थलों को स्कैन कर रहा था" और छवि को ऑनलाइन दूसरों से मिलान करने से पहले "अद्वितीय चेहरे की ज्यामिति का मानचित्रण" कर रहा था और एक रिपोर्ट पेश कर रहा था जिसमें शुल्क के लिए पूरा नाम, पता, स्थान इतिहास, सार्वजनिक उपस्थिति, फोटो, वीडियो, सोशल मीडिया प्रोफाइल और "छिपे हुए डेटिंग प्रोफाइल" शामिल हो सकते थे। परिणामी रिपोर्ट में रिपोर्टर का नाम दिया गया, एक जीवनी प्रदान की गई, और ऑनलाइन उनकी कई तस्वीरों से लिंक किया गया।

गलत कॉन्फ़िगरेशन और आकस्मिक एक्सपोज़र दुर्भाग्य से ऑनलाइन आम हैं, लेकिन जैसे-जैसे डिजिटल प्लेटफ़ॉर्म संवेदनशील व्यक्तिगत डेटा एकत्र करने और उसका विश्लेषण करने के लिए अधिक से अधिक स्वचालित क्षमताओं की पेशकश करते हैं, जानकारी सुरक्षित करने का जोखिम और भी अधिक बढ़ जाता है।

अमेरिकन सिविल लिबर्टीज यूनियन में गोपनीयता और डेटा प्रशासन के लिए रणनीति के निदेशक रेबेका विलियम्स का कहना है, "व्यक्तियों को सत्यापित करने के लिए अत्यधिक संवेदनशील व्यक्तिगत जानकारी पर भरोसा करने वाली प्रणालियाँ मजबूत डेटा न्यूनतमकरण और सुरक्षा प्रथाओं के साथ भी इन जोखिमों को उठाना जारी रखेंगी, क्योंकि मॉडल स्वयं संवेदनशील डेटा एकत्र करने पर निर्भर करता है।"

फाउलर इस बात पर जोर देते हैं कि फोटो सहित उजागर डेटा स्कैमर्स या साइबर अपराधियों के लिए पहले से कहीं अधिक मूल्यवान है। फाउलर कहते हैं, "मान लीजिए कि मैं एक आपराधिक संगठन में था और लोगों को फंसा रहा था, और मैं इन सभी तस्वीरों को स्क्रॉल करता हूं और 20 सबसे आकर्षक लोगों को चुनता हूं और फिर मैं बस उनकी छवि और AI का उपयोग करता हूं और एक व्यक्तित्व बनाता हूं।"

आपके इनबॉक्स में: यह आपका औसत राजनीति न्यूज़लेटर नहीं है

वाईफ़ाई-8 आ रहा है—यहां वह सब कुछ है जो आपको जानना आवश्यक है

बड़ी कहानी: युवा धावक बेहद तेज़ होते जा रहे हैं

शहरी निगरानी की नई वास्तविकता

हमारे सर्वेक्षण में भाग लें: क्या आप तकनीकी क्षेत्र में काम करते हैं? हम आपसे सुनना चाहते हैं