هلا كندا – كشف باحث في الأمن السيبراني عن تسريب أكثر من 9 ملايين ملف لصورة وجوه أشخاص عبر الإنترنت.
وعثر الباحث جيريمياه فاولر على 9,042,977 ملفاً في مساحة تخزين سحابية غير مؤمنة تابعة لشركة ClarityCheck.
وتقدم الشركة خدمات البحث العكسي عن الصور، حيث يمكن للمستخدم رفع صورة للحصول على معلومات عن صاحبها وحساباته على مواقع التواصل.
وشملت الملفات المسربة صوراً لرجال ونساء ومراهقين وأطفال، وفقاً للباحث.
ولا يُعرف حتى الآن عدد الصور التي تعود إلى أشخاص في كندا.
وأوضح فاولر أن الأشخاص الظاهرين في الصور ليسوا بالضرورة عملاء للشركة، بل أشخاصاً جرى البحث عنهم باستخدام الخدمة.
وقال إن كشف هذه الصور قد يسمح للمحتالين بالتعرف على أشخاص وإنشاء حسابات مزيفة بأسمائهم.
وقد يستخدم المحتالون هذه الحسابات للتواصل مع أفراد عائلات الضحايا وأصدقائهم وانتحال شخصياتهم.
وتزداد خطورة تسريب بيانات الوجه بسبب صعوبة تغييرها مقارنة بكلمات المرور.
وعثر فاولر على مساحة التخزين المكشوفة في أبريل الماضي، لكن الوصول إليها لم يُقيّد حتى يوليو بعد تواصل وسائل إعلام مع الشركة.
وقالت ClarityCheck إن الملفات لم تكن متاحة عبر البحث العام، وإن الوصول إليها كان يتطلب معرفة عنوان إلكتروني محدد وغير مفهرس.
كما ذكرت الشركة أن العدد المعلن لا يمثل بالضرورة صوراً فريدة، بسبب وجود نسخ مكررة أو معدلة الحجم وبيانات أخرى.
لكن فاولر قال إنه لم يرَ صوراً مكررة أو مقصوصة أو معدلة الحجم ضمن العينة التي فحصها.
وقالت تيريزا سكاسا، الباحثة في قانون وسياسات المعلومات بجامعة أوتاوا، إن القانون الكندي يلزم الشركات بحماية المعلومات الشخصية التي تحتفظ بها.
وأوضحت أن قانون حماية المعلومات الشخصية والوثائق الإلكترونية الكندي PIPEDA قد ينطبق على الشركة، رغم تسجيلها في ولاية ديلاوير الأمريكية.
وأضافت أن وجود صلة حقيقية وجوهرية بكندا يكفي لتطبيق القانون في بعض الحالات.
كما أشارت إلى أن مجرد مطالبة المستخدم بتأكيد امتلاكه للصورة أو ظهوره فيها قد لا يشكل موافقة كافية.
وكان مكتب مفوض الخصوصية الكندي قد درس نموذجاً مشابهاً عام 2024، وخلص إلى أن الاعتماد على تأكيدات المستخدمين وحدها لا يكفي لإثبات الموافقة.
وبحسب سكاسا، يستطيع الكندي الذي يشتبه بوجود صورته في قاعدة البيانات أن يطلب من الشركة معرفة المعلومات التي تحتفظ بها عنه.
ويمكنه طلب حذف المعلومات إذا عُثر عليها، بينما قد يوفر مشروع القانون C-36 المطروح في يونيو حماية أوضح لهذا الحق.
وأشارت سكاسا إلى أن مفوض الخصوصية يستطيع التحقيق وإصدار نتائج، لكنها أوضحت أن هذه النتائج ليست ملزمة في جميع الحالات.
وتظهر شروط الشركة أن مدة الاحتفاظ بالصور المرفوعة كانت 14 يوماً، قبل تعديلها لاحقاً إلى سبعة أيام.
كما رصد فاولر اختلافاً بين تصريحات الشركة بشأن عدم تقديمها تقنية التعرف على الوجه وبين مواد تسويقية تستخدم عبارات مرتبطة بالتعرف على الوجوه.
ولم ترد الشركة على أسئلة حول التسريب قبل الموعد النهائي للنشر، ثم طلبت مهلة إضافية للرد بعد إحالة الأسئلة إلى فرقها القانونية والهندسية والمنتجات.
ولا يزال من غير المعروف مصدر الصور التي كانت موجودة في مساحة التخزين المكشوفة أو عدد الكنديين المتضررين منها.
وحذر الخبراء من أن تسريب صور الوجوه يمثل خطراً طويل الأمد، لأن البيانات البيومترية لا يمكن تغييرها بسهولة إذا تعرضت للكشف أو إساءة الاستخدام.
