- 研究者がClarityCheckの、900万件を超えるユーザー画像を含む450GBの露出データベースを発見
- 流出データには顔写真やプロフィール、写真が含まれ、なりすましやフィッシング悪用のリスクが懸念される
- 同社はアクセスを速やかに封鎖しており、現時点でダークウェブでの流通や悪用の証拠は確認されていない
あるオンラインの逆引き検索プラットフォームが、誤って数百万件の顔画像をインターネット上に流出させていたことが判明しました。専門家は、なりすましやフィッシングなどの被害に遭うリスクが高まっていると警告しています。
露出したデータベースの発見を専門とするセキュリティ研究者のJeremiah Fowler氏は、最近このデータベースを発見しました。
データベースには、プロフィール写真、スクリーンショット、実物の写真をスキャンした画像など、合計9,042,977件の画像ファイルが含まれていました。いずれもユーザー自身がアップロードしたとみられるもので、成人や10代の若者、さらには子どもの画像も確認されました。これらは「faces」および「profiles」と名付けられたフォルダに保存されていました。
何が起きたのか
さらに調査を進めた結果、このデータベースはClarityCheckという企業に属していることが判明しました。同社は米国に登録された企業で、自らを「電話番号、メールアドレス、画像、車両の逆引き検索サービス」と称しています。ユーザーは「信頼できる情報源」から得られる公開データを利用して、身元不明の発信者の特定や、オンラインで接触した相手の確認、写真の照合、車両情報の解読などを行うことができます。
これ自体は正当なビジネスであり、その必要性は日を追うごとに高まっています。サイバー犯罪者は日々偽のネット上の人格を作り上げ、ロマンス詐欺や偽の求人詐欺をはじめ、あらゆる手口に悪用しています。その際、犯罪者は他人の写真を盗用したり、ダークウェブで入手(あるいは購入)したり、AIで生成したりします。
相手の身元を確認できる能力は、個人・ビジネスを問わず、今や誰にとっても欠かせないデューデリジェンスとなっています。
ClarityCheckの対応
Fowler氏はデータベースの所有者を突き止めるとすぐにClarityCheckに連絡を取り、責任ある情報開示を行いました。同社は迅速に対応してさらなるアクセスを遮断し、研究者の協力に謝意を示しました。
ClarityCheckの担当者はFowler氏に対し、「機密性の高い画像の流出とそれに伴うプライバシーリスクについてのご懸念、十分に理解しています。あなたのような倫理的な研究者の方々がこうした問題を私たちに知らせてくださることに、大変感謝しています。おかげで、ユーザーのデータとプライバシーを守るために迅速に対応することができました」と述べています。
残念ながら、ClarityCheck側によるさらに踏み込んだ調査が行われない限り、データベースがどれくらいの期間公開状態にあったのか、また過去に第三者がアクセスしていたかどうかを確認する術はありません。ただし、これまでのところ「ClarityCheckの写真データベース」がダークウェブ上で流通・販売されている形跡はなく、悪用された証拠も確認されていません。
ハッカーに晒される人々
データ窃取や情報流出がますます頻発する現代において、最も対策しやすいはずの原因が、実は最も多くの情報流出を引き起こしています。それが設定不備のデータベースです。今日では、ほぼすべての企業が従業員や取引先、顧客に関するデータを収集・保存しています。多くの企業は、アクセスのしやすさやビジネスインテリジェンスソフトウェアとの連携のしやすさから、これらのデータをクラウドデータベースに保存しています。
しかし、クラウドサービスプロバイダーはいわゆる「責任共有モデル」に基づいて運用されています。これは、業界標準のセキュリティ機能を提供する責任はプロバイダー側にある一方、それらの機能を実際に使用し、データベースを適切に設定する(強固なパスワードを設定する、コンテンツを暗号化するなど)責任はユーザー側にある、という考え方です。残念ながら、多くの組織はこの責任共有モデルを認識しておらず、データを安全に保つのはサービスプロバイダーの仕事だと固く信じ込んでいます。また、単純な設定ミスによってこうしたアーカイブを外部からアクセス可能な状態のまま放置してしまっている組織も存在します。
犯罪者たちはこうした実情を熟知しており、これを悪用して価値ある情報を窃取しています。ShodanやCensys、FOFAといった広く利用可能なツールを使えば、暗号化やパスワード保護がされていないデータベースをインターネット上で探し出し、フィッシングやビジネスメール詐欺(BEC)をはじめとするさまざまなサイバー攻撃に利用するためのデータを抜き取ることができます。
これまでにもFowler氏をはじめとする研究者たちは、数億人分もの機密データを流出させていた巨大なデータベースを数多く発見してきました。
2026年には、欧州のクラウドプロバイダーであるNextcloudが、従業員や顧客に関する機密データ367,000件(8GB)を含む無防備なデータベースを公開インターネット上に放置していたことが研究者によって発見されました。
2025年には、フロリダを拠点とするデータクレンジング・拡充・付加サービスプロバイダーのIMDataCenterが、機密性の高い個人記録38GBを流出させていました。暗号化やパスワード保護がされていなかったこのデータベースには、合計10,820件のレコードが保存されていました。
2024年には、スポーツ分析技術企業のTrackManが、110TB、31,602,260件に及ぶ機密性の高い顧客データを流出させていました。このデータベースにはパスワードすら設定されていませんでした。
