Um serviço de busca reversa por rosto deixou mais de nove milhões de arquivos de imagem acessíveis na internet sem senha nem criptografia, segundo uma investigação de segurança divulgada em agosto de 2026. O ClarityCheck promete que a busca por imagem é privada e segura, mas o pesquisador Jeremiah Fowler encontrou fotos de adultos, adolescentes e crianças em um bucket da Amazon S3 ligado à plataforma.
O caso ganhou repercussão internacional depois que o WIRED e o PetaPixel publicaram reportagens sobre o vazamento. Fowler descreveu o achado no blog da ExpressVPN em 19 de agosto, e a matéria do PetaPixel saiu em 21 de agosto. Até o momento da publicação do relatório, o banco já havia sido fechado ao acesso público.
Jeremiah Fowler publicou o relatório completo na ExpressVPN em 19 de agosto de 2026, com a contagem de 9.042.977 arquivos, 450,2 GB de dados e pastas rotuladas como faces e profiles.
O WIRED confirmou a exposição, citou a resposta do ClarityCheck sobre URL não indexada e mencionou uma segunda falha envolvendo APIs do site.
O PetaPixel publicou a matéria em 21 de agosto e reproduziu a citação de Fowler sobre o risco de bots de IA indexarem rostos de crianças no banco exposto.
O que o ClarityCheck promete
O ClarityCheck se apresenta como um serviço de investigação digital que usa busca reversa por imagem e técnicas de OSINT, sigla em inglês para inteligência de fontes abertas, para ajudar a identificar pessoas, detectar perfis falsos e verificar identidades online. O usuário envia um número de telefone, um e-mail ou uma fotografia, e a plataforma tenta cruzar essa pista com registros públicos e perfis na web.
Na interface de busca por imagem, o site exibe a mensagem de que a consulta é privada e segura. Os termos de uso exigem que quem faz o upload tenha direito legal sobre a imagem e consinta com o armazenamento temporário descrito na política de retenção. A empresa também publica um aviso de que não oferece reconhecimento facial nem verificação de identidade, embora a página de descrição do serviço afirme que a busca reversa pode identificar alguém em uma foto em segundos.
O que o pesquisador encontrou
Fowler relata ter encontrado cerca de 9.042.977 arquivos de imagem, totalizando 450,2 GB, em um banco exposto publicamente. Os registros estavam organizados em pastas com nomes como faces e profiles, e continham fotos de perfil, capturas de tela e fotografias físicas aparentemente enviadas para buscas reversas ou verificações de identidade.
O pesquisador afirma que o endereço do bucket aparecia no código-fonte público do site do ClarityCheck, o que permitiria localizar o repositório sem autenticação. Ele enviou um aviso de divulgação responsável à empresa e informa que o acesso foi restringido antes da publicação do relatório. Fowler esclarece que não baixa os dados que encontra e examina apenas uma amostra limitada para confirmar a exposição.
Na amostra revisada, ele observou rostos de adultos, adolescentes e crianças. Muitas imagens pareciam ter vindo de perfis privados, redes sociais, aplicativos de namoro, capturas de tela ou fotos físicas enviadas por terceiros. Isso levanta a possibilidade de que parte das pessoas retratadas nunca tenha usado o ClarityCheck nem autorizado o upload, embora essa conclusão dependa de cada caso e não esteja provada em escala.
O que a empresa responde
Em resposta ao WIRED, um porta-voz do ClarityCheck contestou a ideia de que os dados estavam expostos publicamente. Segundo a empresa, seria necessário conhecer uma URL específica e não indexada que não apareceria em uma busca comum no serviço nem na web aberta. A fabricante também afirma que não há indício de acesso malicioso e que o número de imagens únicas é menor do que nove milhões, porque o total inclui duplicatas, versões recortadas ou redimensionadas e dados que não são imagens.
Fowler não afirma que terceiros tenham baixado o banco, mas alerta que, depois que dados biométricos ficam expostos, não existe a garantia de que ninguém os tenha copiado. Apenas uma auditoria interna da empresa poderia confirmar se houve acesso adicional antes do fechamento. A distinção entre URL obscura e banco aberto importa para a linguagem jurídica, porém arquivos sem senha encontrados no código de um site continuam representando falha grave de configuração.
Retenção de 14 dias e arquivos antigos
Os termos do ClarityCheck dizem que imagens enviadas para busca reversa ficam armazenadas por catorze dias antes da exclusão automática. Fowler relata ter visto timestamps que ultrapassavam esse prazo na amostra do banco exposto. Se confirmado, isso indicaria descumprimento da política declarada, mas a verificação completa exigiria análise forense que o pesquisador não realizou.
A empresa não detalhou publicamente quantos arquivos excediam o prazo nem explicou por que permaneceriam no bucket depois do prazo prometido. Inferir negligência sistemática seria precipitado, embora a discrepância mereça resposta formal da plataforma.
Falha separada nas APIs
Reportagens independentes, incluindo o WIRED e o Digital Trends, mencionam um segundo problema de configuração envolvendo APIs do site. Segundo essas publicações, manipular certas URLs do ClarityCheck com o nome de uma pessoa poderia revelar possíveis endereços de e-mail, números de telefone e endereços físicos sem exigir acesso especial além do que estava disponível na interface.
O ClarityCheck descreveu parte desses dados como provenientes de informações públicas e de fornecedores licenciados de terceiros. Mesmo quando a origem é legal, expor resultados de busca sem autenticação adequada amplia o risco de uso indevido por terceiros. Fowler e as reportagens indicam que a empresa também corrigiu essa falha.
Por que rostos pesam mais que outros dados
Nome, e-mail e telefone podem ser trocados ou atualizados. Um rosto, em geral, não. Quando uma imagem biométrica vaza, a pessoa não pode resetar o rosto como troca uma senha. Serviços de busca reversa tratam justamente o rosto como chave de identificação, o que torna a exposição mais sensível do que a de metadados comuns.
Fowler observa que modelos de IA já conseguem relacionar rostos sem rótulos associados a nomes. Ele não prova que o banco do ClarityCheck tenha sido usado para treinar IA, mas aponta o risco hipotético de que um crawler automatizado pudesse indexar rostos de um repositório aberto. A menção serve como alerta de cenário, não como acusação confirmada contra a empresa.
Antes de enviar uma foto para qualquer serviço
Quem precisa compartilhar uma imagem para verificação, denúncia ou consulta deve assumir que o arquivo pode conter mais do que o rosto principal. Notificações, placas, nomes completos, códigos de reserva e mensagens de terceiros aparecem com frequência no mesmo quadro. Recortar o excesso e ocultar dados que não fazem parte da consulta reduz o que sai da galeria, embora não substitua ler os termos de retenção do serviço.
Também vale guardar o arquivo original fora de plataformas de busca quando ele puder servir como comprovante. Uma cópia tratada pode ser enviada para proteger informação sensível, mas o documento completo continua sendo a referência se houver contestação ou necessidade de prova.
O que ainda não está provado
Não há confirmação pública de quanto tempo o bucket ficou aberto, de quantas pessoas foram afetadas de forma única nem de download por criminosos ou corretores de dados. Fowler recebeu agradecimento da empresa pela divulgação responsável, e o ClarityCheck afirma ter agido para proteger os usuários. O episódio reforça, porém, que prometer privacidade na interface não basta quando o armazenamento técnico permanece mal configurado.
Prometer privacidade na tela não protege um bucket mal configurado: quando o rosto vira chave de busca, qualquer falha de armazenamento deixa uma credencial que a pessoa não consegue trocar.