L’app di incontri Tea rivela 72.000 foto e ID utenti in una grave violazione

Un grave violazione dei dati ha colpito Tea, un’app di sicurezza per incontri femminili che ha recentemente raggiunto la vetta dell’App Store.

I hacker su 4chan hanno acceduto a un database esposto di Tea, per poi iniziare a condividere online i selfie e le foto di identità degli utenti, come riportato per la prima volta da 404Media.

La violazione è stata possibile a causa di un database Google Firebase non protetto utilizzato da Tea. “Sì, se hai inviato a Tea App la tua faccia e la patente di guida, ti hanno doxxato pubblicamente! Nessuna autenticazione, niente di niente. È un contenitore pubblico”, si legge in un post su 4chan, riporta 404Media.

Ha aggiunto, “PATENTI E FOTO DEL VOLTO! ENTRATE QUI PRIMA CHE LO CHIUDANO!”

Tea ha confermato la violazione a 404 Media, dicendo che ha interessato dati più vecchi di due anni fa e ha incluso 72.000 immagini, 13.000 selfie e documenti di identità fotografici, e 59.000 altre immagini provenienti da post e messaggi.

“Questi dati erano originariamente archiviati in conformità con le normative di legge relative alla prevenzione del cyber-bullismo,” ha spiegato l’azienda.

I dati trapelati includono anche i messaggi diretti. 404 Media ha verificato l’esposizione decompilando l’app Android e localizzando lo stesso URL di archiviazione condiviso su 4chan.

“Le immagini nel bucket sono grezze e non censurate,” ha scritto un utente. Altri su 4chan hanno persino creato script per raccogliere automaticamente i dati trapelati.

Il processo di verifica per Tea richiede agli utenti di caricare sia un selfie che una foto del documento di identità per confermare la loro identità femminile prima di unirsi alla piattaforma. La piattaforma permette alle donne di condividere avvertimenti anonimi sugli uomini tramite un sistema che funziona come i gruppi di Facebook “Stiamo Uscendo con lo Stesso Ragazzo?”.

Dopo aver scoperto la violazione, Tea ha dichiarato di stare lavorando con esperti di cybersecurity e ha scritto in un’email a 404Media che, “La protezione della privacy e dei dati dei nostri utenti è la nostra priorità assoluta.”

404Media nota che l’originale thread di 4chan è stato nel frattempo rimosso, ma le versioni archiviate continuano a circolare.