// TOM'S HARDWARE ITALIA — MONDO
Gli archivi di immagini facciali entrano negli audit delle PMI italiane dopo 9 milioni di file esposti
Un archivio attribuito al servizio statunitense ClarityCheck ha lasciato accessibili su Internet 9.042.977 immagini, tra fotografie profilo, schermate e scansioni di foto fisiche. Per le imprese italiane che affidano a fornitori esterni immagini di clienti, dipendenti o contatti, il caso porta nell’audit non soltanto la funzione del software, ma configurazione del cloud, tempi di conservazione, cifratura e capacità di gestire una violazione.
Nel resoconto pubblicato da TechRadar non risultano vittime italiane confermate, né è stato stabilito se qualcuno abbia copiato i file. Anche la definizione di violazione biometrica richiede cautela: nel diritto UE una fotografia è un dato personale, ma diventa dato biometrico appartenente alle categorie particolari soltanto in presenza di uno specifico trattamento finalizzato all’identificazione univoca.
Il ricercatore di sicurezza Jeremiah Fowler ha individuato un database da 450,2 GB contenente esattamente 9.042.977 file. Le immagini, apparentemente caricate dagli utenti, erano organizzate anche in cartelle denominate faces e profiles e ritraevano adulti, adolescenti e bambini. Il materiale comprendeva immagini digitali, screenshot e scansioni di fotografie stampate.
Fowler ha ricondotto il database a ClarityCheck, società registrata negli Stati Uniti che presenta servizi di ricerca inversa tramite numero telefonico, indirizzo e-mail, immagine e dati del veicolo. Il modello consiste nel ricavare informazioni da fonti pubblicamente disponibili per controllare contatti sconosciuti, foto e identità online.
Dopo avere identificato il soggetto responsabile, il ricercatore ha comunicato privatamente l’esposizione. Secondo il resoconto, l’azienda ha risposto rapidamente, ha impedito ulteriori accessi e ha ringraziato Fowler per la segnalazione. Non sono però riportati i dettagli tecnici della correzione, il tipo di database coinvolto o l’eventuale cifratura dei singoli file.
Rimangono aperte due variabili centrali per qualsiasi valutazione dell’incidente: non è noto per quanto tempo il database sia rimasto raggiungibile e non è possibile confermare se terzi lo abbiano consultato o scaricato. Al momento del resoconto non emergevano prove di abuso e l’archivio non risultava distribuito o venduto nel dark web, circostanza che non equivale alla prova che nessuna copia sia stata eseguita.
Nel testo europeo del GDPR, l’articolo 4, punto 14 definisce biometrici i dati personali ottenuti da un trattamento tecnico specifico relativo a caratteristiche fisiche, fisiologiche o comportamentali che consentono o confermano l’identificazione univoca. L’articolo 9 include tra le categorie particolari i dati biometrici trattati proprio per identificare univocamente una persona.
La distinzione deve essere verificata sul funzionamento effettivo del prodotto. Nella propria informativa per utenti UE, ClarityCheck afferma attualmente di non creare un indice proprietario di immagini facciali o profili biometrici e descrive elaborazioni temporanee, come ritaglio e ridimensionamento, per confrontare immagini simili. La pagina non consente di determinare configurazione, finalità e periodo di conservazione dell’archivio trovato da Fowler.
Per un committente italiano, la classificazione non può quindi fermarsi alla dicitura commerciale del servizio. L’audit deve accertare se il fornitore produca impronte digitali dell’immagine, vettori o modelli utilizzabili per riconoscere una persona; se conservi soltanto il file caricato; quali risultati associ all’immagine; e se la finalità sia la semplice ricerca di corrispondenze oppure l’identificazione univoca.
La fonte collega l’esposizione a rischi di furto d’identità, phishing e impersonificazione. Un’immagine facciale può essere riutilizzata in profili falsi, offerte di lavoro fraudolente e truffe relazionali; la presenza di minori amplia la platea potenzialmente interessata, anche se il resoconto non fornisce una ripartizione per età, Paese o numero di utenti.