ClarityCheck 公開逾 900 萬個圖片檔：人臉相、截圖任人存取

ClarityCheck 嘅逆向圖片搜尋頁面話，用戶上載相片之後可以搵出相中人嘅社交平台帳戶，仲標榜搜尋「私密又安全」。不過獨立保安研究員 Jeremiah Fowler 發現，服務背後有一個冇設存取限制嘅 Amazon S3 bucket，入面約有 450GB、逾 900 萬個圖片檔案。任何知道相關網址嘅人都可以直接存取，而個網址更藏喺網站公開程式碼入面，唔使入侵帳戶或者破解密碼。

900 萬個檔案，唔等於 900 萬個人

Fowler 向 Ars Technica 提供嘅調查結果顯示，bucket 入面有名為「faces」同「profiles」嘅資料夾，內容包括大頭相、截圖，同成年人、青少年及小朋友嘅相片。另一項錯誤設定亦令部分電郵地址同電話號碼可以公開存取。不過現有資料冇證明兩批資料可以逐一配對，亦冇證據顯示有人曾經批量下載或者濫用內容。

數字亦要睇清楚：900 萬講緊檔案數目，同一個人可以有多張相、縮圖或者處理途中產生嘅副本，所以唔可以寫成有 900 萬名受害者。公開報道亦未交代 bucket 開放咗幾耐、實際涉及幾多名用戶、資料來自邊啲國家，同有冇香港用戶。現階段較準確嘅講法係大批相片曾經可以俾公眾直接存取，唔係已證實遭黑客偷走。

「公開資料」唔代表上載副本可以任人拎

呢類 people-finder 服務賣嘅係方便：輸入電話、電郵、姓名或者相片，系統就將散落喺公開紀錄、網站同社交平台嘅線索砌埋一份報告。ClarityCheck 自己亦叫用戶搜尋個人資料，睇吓網上暴露咗啲咩。問題係，用戶為咗查人而上載嘅原相，本身未必公開；相中人甚至可能完全唔知有人拎佢張相去搜尋。

相片外露嘅風險高過一般搜尋紀錄：正面人像可以用嚟認人、開假帳戶、針對式釣魚同騷擾，而且唔似密碼咁可以更換。ClarityCheck 現行條款寫明，逆向圖片搜尋嘅上載內容、暫存檔同報告快取最多保留 7 日，之後會喺合理時間內由運作中系統刪除；但條款留有備份、保安及法律用途等例外，公開資料亦未能證明事件發生時實際有冇跟足呢套安排。

而家可以點樣檢查自己

先處理相片。用 Google Lens 搜尋自己公開用緊嘅頭像，可以睇到相同或相似圖片出現喺邊啲網站；如果張相未公開，較穩陣係用已經上網嗰個圖片網址搜尋，唔好為咗檢查而再將私人原相交畀另一間陌生公司。見到冒認帳戶就向相關平台舉報；若果來源網站由你控制，先刪除原檔，再要求搜尋器更新舊結果。相中有朋友或者小朋友，就唔好未經同意拎去人肉搜尋。

電郵可以放入 Have I Been Pwned，查看有冇出現喺佢已收錄嘅資料外洩事件；結果只代表佢手上已知嘅紀錄，顯示冇命中都唔等於百分百安全。電話、電郵同姓名可以分別加引號放入搜尋器，例如搜尋「91234567」或者完整電郵地址。Google 嘅「Results about you」亦支援監察部分個人聯絡資料同申請移除搜尋結果，不過移除 Google 結果唔會刪走來源網站嘅資料，原站仍然要另外聯絡。

如果你曾經用 ClarityCheck 上載相片，可以要求公司確認保留咗咩、刪除帳戶及相關內容，亦要留意冒認客服、釣魚電郵同突然出現嘅密碼重設通知。暫時冇報道指密碼喺今次事件曝光，所以唔使無差別更改所有密碼；若果 ClarityCheck 密碼同其他服務共用，就應該立即分開，再為重要帳戶開啟雙重認證。之後最值得追嘅係公司幾時封好公開存取、有冇查閱下載紀錄，同會唔會逐一通知受影響用戶。

參考來源

• Ars Technica — Reverse-lookup service exposed millions of photos of people’s faces — original report
• ClarityCheck Terms & Conditions — 核對逆向圖片搜尋上載內容最多保留 7 日，以及備份、保安同法律用途等例外。
• ClarityCheck Vulnerability Disclosure Policy — ClarityCheck 官方保安事故及漏洞通報安排。
• ClarityCheck Reverse Lookup — 核對服務提供嘅圖片、電話、電郵及人物搜尋功能，同公司對資料來源及用途嘅說法。
• Google Search Help：Search with an image — Google 官方逆向圖片搜尋操作及結果類型說明。
• Google Search Help：Find and remove personal info — 核對 Results about you 可處理嘅聯絡資料，以及移除搜尋結果唔等於刪除來源內容嘅限制。
• Have I Been Pwned — 提供電郵地址已知資料外洩紀錄檢查。
• 私隱專員公署：Data Breach Notification — 香港個人資料私隱專員公署對資料外洩嘅定義及通報資料。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。