Le service promettait une recherche d'image « privée et sécurisée ». Ses 450 gigaoctets de visages dormaient dans un espace de stockage sans mot de passe, dont l'adresse figurait dans le code du site.
Les moteurs de recherche faciale forment une catégorie de services discrète et prospère. Vous chargez la photo d'un inconnu, l'outil part la comparer à ce qu'il trouve en ligne, et vous ressort un nom. Les usages annoncés sont rassurants, du démasquage d'arnaqueur sentimental à la vérification d'un profil suspect. Le chercheur indépendant Jeremiah Fowler vient de rappeler ce que ces plateformes accumulent en coulisses, avec une découverte publiée par ExpressVPN et documentée par WIRED.
9 042 977 fichiers, aucun mot de passe
La base repérée par Fowler contenait exactement 9 042 977 fichiers image, pour 450,2 gigaoctets, sans mot de passe ni chiffrement. Les fichiers étaient rangés dans un espace de stockage Amazon S3, à l'intérieur de dossiers baptisés « faces » et « profiles ». Photos de profil, captures d'écran, clichés physiques : on y trouvait des adultes, des adolescents et des enfants.
Le chercheur a rattaché l'ensemble à ClarityCheck, une société enregistrée aux États-Unis qui propose des recherches inversées sur numéro de téléphone, adresse mail, image et plaque de véhicule. Sur son site, le service affiche que la recherche d'image inversée est « privée et sécurisée ». L'adresse permettant d'atteindre le stockage figurait dans le code accessible publiquement de ce même site.
Une seconde mauvaise configuration exposait par ailleurs des adresses mail et des numéros de téléphone. ClarityCheck a reconnu être propriétaire des données et les a sécurisées après que le média américain WIRED a contacté l'entreprise en juillet. L'exposition durait toutefois depuis plusieurs mois, et les premiers signalements de Fowler étaient restés lettre morte. Le chercheur a également relevé des fichiers horodatés au-delà des quatorze jours de conservation annoncés par le service.
L'entreprise conteste le terme d'exposition publique, en faisant valoir que l'accès supposait de connaître une adresse précise et non indexée. L'argument tiendrait mieux si cette adresse ne s'était pas trouvée dans le code du site.
Le droit européen a déjà tranché ce débat
La question du consentement est celle qui pique le plus. ClarityCheck demande à ses utilisateurs de certifier qu'ils disposent de l'autorisation nécessaire pour charger une photo, une formalité dont Fowler souligne l'absurdité : on ne cherche généralement pas à identifier quelqu'un qu'on connaît déjà. Les billets de blog du service, qui expliquent comment retrouver une personne sur les sites de rencontre ou sur Hinge sans avoir matché, ne plaident pas franchement en sens inverse.
Côté européen, le cadre existe et il est explicite. Le RGPD range les données biométriques parmi les catégories particulières de son article 9, dès lors que le traitement vise à identifier une personne de manière unique. La description colle assez bien à la fonction d'un moteur de recherche faciale. L'AI Act interdit depuis février 2025 la constitution de bases de reconnaissance faciale par moissonnage non ciblé d'images, avec des sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
La CNIL a déjà déroulé ce scénario jusqu'au bout. En octobre 2022, elle infligeait 20 millions d'euros à Clearview AI pour avoir constitué une base de milliards de visages sans base légale. Faute de mise en conformité, l'autorité liquidait en avril 2023 une astreinte supplémentaire de 5,2 millions d'euros. Clearview plaidait à l'époque n'avoir ni enseigne commerciale ni clients en France, et donc échapper au RGPD. L'argument n'a impressionné ni la CNIL ni son homologue italienne.
La mécanique de ClarityCheck diffère toutefois sur un point de méthode. Ses images proviennent de ses propres utilisateurs, là où Clearview aspirait le web de façon automatisée. La distinction compte juridiquement, elle change en revanche peu de choses pour les personnes photographiées, qui n'ont ni chargé ces clichés ni su qu'ils atterrissaient là. Le sujet reste d'ailleurs brûlant sur le continent, comme le montrent les crispations autour de la reconnaissance faciale que Meta pousse sur ses lunettes connectées.
Le risque concret tient dans un scénario désormais classique : un visage récupéré, un faux profil monté autour, et un proche qu'on appelle en urgence pour réclamer un virement. Une photo de vous circule peut-être dans ces 450 gigaoctets, et vous n'avez aucun moyen de le vérifier.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.