Aplikacja randkowa Tea wycieka 72 000 zdjęć użytkowników i ich ID w poważnym naruszeniu bezpieczeństwa

Doszło do poważnego naruszenia danych w Tea, aplikacji zwiększającej bezpieczeństwo kobiet podczas randek, która niedawno zdobyła pierwsze miejsce w App Store.

Hakerzy z 4chan uzyskali dostęp do niewłaściwie zabezpieczonej bazy danych firmy Tea, a następnie zaczęli udostępniać w sieci selfie użytkowników oraz zdjęcia z dokumentów tożsamości, jak donosi jako pierwsze 404Media.

Naruszenie bezpieczeństwa było możliwe dzięki niezabezpieczonej bazie danych Google Firebase, której używała Tea. „Tak, jeśli wysłałaś aplikacji Tea zdjęcie swojej twarzy i prawo jazdy, zostałaś publicznie doxxed! Bez żadnej autentykacji, bez niczego. To publiczne wiadro,” czytamy w poście na 4chanie, informuje 404Media.

Dodano również: „PRAWA JAZDY I ZDJĘCIA TWARZY! WKURZAJCIE SIĘ TUTAJ ZANIM ZAMKNĄ TO WSZYSTKO!”

Firma Tea potwierdziła naruszenie dla 404 Media, informując, że dotyczyło to starszych danych sprzed ponad dwóch lat i obejmowało 72 000 zdjęć, 13 000 selfie i dowodów osobistych oraz 59 000 innych zdjęć z postów i wiadomości.

„Te dane były pierwotnie przechowywane zgodnie z wymogami prawa dotyczącymi zapobiegania cyberprzemocy” – wyjaśniła firma.

Przeciek danych obejmuje również bezpośrednie wiadomości. 404 Media potwierdziło narażenie na ryzyko, dekompilując aplikację Android i lokalizując ten sam adres URL pamięci masowej, który został udostępniony na 4chan.

„Obrazy w kubełku są surowe i nieocenzurowane,” napisała jedna z użytkowniczek. Inni na 4chan stworzyli nawet skrypty, które automatycznie zbierają przeciekające dane.

Proces weryfikacji dla Tea wymaga od użytkowniczek przesłania zarówno selfie, jak i zdjęcia dowodu osobistego, aby potwierdzić swoją tożsamość kobiecą przed dołączeniem do platformy. Platforma umożliwia kobietom udostępnianie anonimowych ostrzeżeń o mężczyznach za pomocą systemu, który działa jak grupy na Facebooku o nazwie „Czy spotykamy się z tym samym facetem?”.

Po odkryciu naruszenia, Tea poinformowało, że pracuje z ekspertami ds. cyberbezpieczeństwa i powiedziało w e-mailu do 404Media, że „Ochrona prywatności i danych naszych użytkowników jest naszym najważniejszym priorytetem”.

404Media zauważa, że oryginalny wątek na 4chanie został już usunięty, ale archiwalne wersje wciąż krążą.