反查人服务ClarityCheck暴露900多万张面部图片：450GB数据库无密码可访问

数据库中的文件存储在faces和profiles文件夹中，包含头像、截图和实体照片扫描件，涉及成年人、青少年甚至儿童的面部图像。用户上传到该服务的图片本应在14天内删除，但研究人员发现部分文件时间戳超出了公司声明的保留期限。

ClarityCheck自称提供私密且安全的反向图像搜索服务，帮助用户识别陌生人、验证在线联系人。然而其网站代码中可找到数据库访问URL，任何人都可能通过该链接查看存储的面部图像，公司对此辩称数据并非公开暴露，因为访问需要特定且未被索引的URL。

面部图像属于难以更改的生物特征数据，一旦与姓名、社会档案、地址等信息关联，可能被用于身份伪造、定向钓鱼、人肉搜索等恶意用途。研究人员还发现该公司网站API存在独立漏洞，通过修改URL并输入姓名即可获取可能的邮箱、电话和住址。

福勒向公司负责任地披露后，ClarityCheck迅速限制了数据库访问。目前暂无证据表明数据被恶意获取或已在暗网流通，但此案再次凸显云数据库配置错误和生物特征数据保护的严峻挑战。