Додаток для знайомств Tea пропустив 72,000 фотографій користувачів та їхніх ID у рамках великого порушення безпеки

Серйозне порушення захисту даних торкнулося Tea, додатку з питань безпеки при знайомстві для жінок, який нещодавно досяг вершини App Store.

Хакери з 4chan отримали доступ до відкритої бази даних Tea, а потім почали поширювати в Інтернеті селфі користувачів та фотографії їхніх ID, як спочатку повідомило 404Media.

Порушення стало можливим через незахищену базу даних Google Firebase, яку використовував Tea. “Так, якщо ви відправили Tea App своє обличчя та водійське посвідчення, вони виклали вас на показ! Без авторизації, без нічого. Це публічна база даних,” – читаємо в дописі на 4chan, згідно з 404Media.

Він додав: “ВОДІЙСЬКІ ПОСВІДЧЕННЯ І ФОТО ОБЛИЧ! СЮДИ, ПОКИ ВОНИ НЕ ЗАКРИЛИ ЦЕ!”

Чай підтвердив порушення 404 Media, заявивши, що це вплинуло на старіші дані, яким більше двох років, і включало 72 000 зображень, 13 000 селфі та фото-посвідчень особи, а також 59 000 інших зображень з повідомлень та постів.

“Ці дані були спочатку збережені відповідно до вимог законодавства, пов’язаних з запобіганням кіберзнущуванням,” пояснила компанія.

Витік даних також включає прямі повідомлення. 404 Media підтвердили витік, декомпілювавши додаток для Android та знайшовши ту саму URL-адресу зберігання, яка була опублікована на 4chan.

“Зображення у бакеті є сирих та нецензурованих,” – написав один користувач. Інші на 4chan навіть створили скрипти для автоматичного збору витічки даних.

Процес верифікації для Tea вимагає від користувачів завантаження як селфі, так і фотографії документа, що підтверджує їхню жіночу особистість, перед тим, як приєднатися до платформи. Платформа дозволяє жінкам анонімно ділитися попередженнями про чоловіків через систему, яка функціонує як групи у Facebook “Are We Dating the Same Guy?”.

Після виявлення порушення, Tea заявила, що працює з експертами з кібербезпеки і сказала в електронному листі до 404Media, що “Захист приватності та даних наших користувачів є нашим найвищим пріоритетом”.

404Media зазначає, що оригінальний потік 4chan вже було видалено, але архівні версії продовжують циркулювати.