「プライベートで安全」と謳うサービスで、900万件超の顔写真が露出#
「あなたの逆画像検索はプライベートで安全です」——そう謳っていた人物検索ツール「ClarityCheck」で、顔写真を含む900万件以上の画像ファイルが実際には誰でもアクセスできる状態に置かれていたことが、独立系セキュリティ研究者のJeremiah Fowlerによる調査で明らかになった。
何が露出していたのか？#
Fowlerの調査によると、露出していたデータベースには約450GBの画像データが含まれており、大人・10代の若者・子どもの顔写真と思われるプロフィール画像やスクリーンショットなど多様なファイルが確認された。
これらのファイルは「faces」「profiles」といった名称のフォルダに整理された状態で、認証なしでアクセスできる無防備なAmazon S3バケットに保存されていた。さらに問題だったのは、そのURLがClarityCheck自身の公開されたウェブサイトのコードに含まれており、URLを知っていれば誰でもブラウザからアクセスできる状態だった点だ。
また、画像データの露出に加えて、ClarityCheckはAPIの設定ミスも抱えていた。ウェブサイトのURLに名前を入力するだけで、その人物に紐づく複数のメールアドレス・住所・電話番号が返ってくる状態になっており、一般的なブラウザさえあれば誰でも実行できた。
サービスの仕組みと問題の本質#
ClarityCheckは、電話番号・メールアドレス・車両識別番号・氏名などで人物を検索できると謳う「ピープルファインダー」系サービスの一つ。写真検索機能では、顔画像をアップロードすると「顔のランドマークをスキャン」「固有の顔の幾何学的構造をマッピング」してオンライン上の画像と照合し、フルネーム・住所・位置履歴・SNSプロフィール・写真・動画といった情報をレポートとして提供する（一部有料）。WIREDの記者が自分の顔写真でテストしたところ、実際に氏名・経歴・複数のオンライン写真へのリンクが返ってきたという。
ここで重要な問題が浮かび上がる。ClarityCheckのサービスは「本人の許可を得た写真のみを使用すること」をユーザーに誓約させているが、Fowlerはこの仕組みの根本的な矛盾を指摘している。**「他人が誰なのかを調べようとしているなら、その人の許可をそもそも得ていない可能性が高い」**のだ。つまり、データベースに画像を収集された当人は、自分の顔がこのサービスに存在することすら知らない場合がほとんどだ。
ClarityCheckの主張と業界の定義の乖離#
WIREDの取材を受けてClarityCheckはデータへのアクセスを制限したが、同社は「データが『公開露出』していた」という表現に異議を唱えた。「インデックス化されていない特定のURLを知らなければアクセスできない状態であり、一般の人が偶然たどり着けるものではなかった」というのが同社の立場だ。また、「悪意あるアクセスの痕跡はなく、9百万件のユニーク画像ではなく重複・クロップ・リサイズされたコピーを含む数字だ」とも述べた。
しかしセキュリティ業界の定義は明確だ。セキュリティ企業MalwarebytesのMark Beare氏は、「露出とは、個人データや機密データが、実際に悪用されたかどうかにかかわらず、不正アクセスのリスクにさらされた状態を指す」と説明する。認証なしにインターネット上からアクセスできる状態であれば、それは「露出」に該当するというのが、米国連邦政府を含むセキュリティ業界全体の共通認識だ。
なお、Fowlerの当初の問題報告はClarityCheckに届かず、WIREDが同社に連絡を取った2025年7月以降にようやく対応が行われた。Fowlerは、このデータが数ヶ月にわたって露出状態にあったと警告している。
なぜこのニュースが重要なのか#
Fowlerは今回の露出データが悪用される具体的なリスクとして、「AIボットが顔データをクロールしてAIトレーニングに使用する可能性」や、「犯罪者がカタフィッシング（なりすまし詐欺）のために魅力的な顔写真を利用してAIで偽のペルソナを作成する可能性」を挙げている。特に子どもの写真が多数含まれていた点は深刻だ。
ACLU（米国自由人権協会）のRebecca Williams氏は、「個人を認証するために高度に機密性の高い個人情報に依存するシステムは、より強力なデータ最小化やセキュリティ対策を講じたとしても、モデル自体が機密データの収集に依存している以上、こうしたリスクを抱え続ける」と指摘している。
まとめ#
今回の問題は、単純な設定ミスという技術的な失敗にとどまらない。顔画像はパスワードと異なり変更できないバイオメトリクスデータであり、一度露出すれば回収は不可能だ。
筆者の見解: 「プライベートで安全」と謳うサービスが、その裏側で最も保護されるべきデータを無防備な状態に置いていたという事実は、デジタルサービスの利用者が「会社の言葉を鵜呑みにしない」ことの重要性を改めて示している。自分の顔や知人の写真を人物検索サービスに提供する際は、そのサービスのセキュリティ実績を慎重に確認すべきだと感じる。
出典: Reverse-lookup service exposed millions of photos of people’s faces
