L’application de rencontres Tea divulgue 72 000 photos et identifiants d’utilisateurs lors d’une importante violation de données

Une grave violation de données a frappé Tea, une application de sécurité de rencontres pour femmes qui a récemment atteint le sommet de l’App Store.

Des pirates sur 4chan ont accédé à une base de données exposée de Tea, et ont ensuite commencé à partager en ligne les selfies et les photos d’identité des utilisateurs, comme l’a d’abord rapporté 404Media.

La brèche a été rendue possible en raison d’une base de données Google Firebase non sécurisée utilisée par Tea. « Oui, si vous avez envoyé à l’application Tea votre visage et votre permis de conduire, ils vous ont doxxé publiquement ! Aucune authentification, rien du tout. C’est un seau public », peut-on lire dans un post sur 4chan, rapporte 404Media.

Il a été ajouté, « PERMIS DE CONDUIRE ET PHOTOS DE VISAGE ! VENEZ ICI AVANT QU’ILS NE FERMENT TOUT ! »

Tea a confirmé la faille à 404 Media, en précisant qu’elle touchait des données plus anciennes de plus de deux ans et incluait 72 000 images, 13 000 selfies et photos d’identité, et 59 000 autres images provenant de publications et de messages.

« Ces données étaient à l’origine stockées conformément aux exigences légales liées à la prévention de la cyberintimidation », a expliqué l’entreprise.

Les données divulguées incluent également des messages directs. 404 Media a vérifié l’exposition en décompilant l’application Android et en localisant la même URL de stockage partagée sur 4chan.

« Les images dans le bucket sont brutes et non censurées », a écrit un utilisateur. D’autres sur 4chan ont même créé des scripts pour collecter automatiquement les données divulguées.

Le processus de vérification pour Tea nécessite que les utilisatrices téléchargent à la fois un selfie et une photo d’identité pour confirmer leur identité féminine avant de rejoindre la plateforme. La plateforme permet aux femmes de partager des avertissements anonymes sur les hommes via un système qui fonctionne comme les groupes Facebook « Sortons-nous avec le même homme ? »

Après avoir découvert la brèche, Tea a déclaré qu’elle travaille avec des experts en cybersécurité et a indiqué dans un e-mail à 404Media que, « Protéger la vie privée et les données de nos utilisatrices est notre priorité absolue. »

404Media note que le fil original de 4chan a depuis été supprimé, mais des versions archivées continuent de circuler.