Tea Dating App leckt 72.000 Nutzerfotos und IDs in massivem Datenverstoß

Ein schwerwiegender Datenleck hat Tea getroffen, eine Dating-Sicherheits-App für Frauen, die kürzlich die Spitze des App Stores erreicht hat.

Hacker auf 4chan erhielten Zugriff auf eine ungeschützte Datenbank von Tea und begannen später, Selfies und Ausweisfotos der Nutzer online zu teilen, wie zuerst von 404Media berichtet.

Der Verstoß war möglich aufgrund einer ungesicherten Google Firebase-Datenbank, die von Tea genutzt wurde. „Ja, wenn du der Tea App dein Gesicht und deinen Führerschein geschickt hast, haben sie dich öffentlich bloßgestellt! Keine Authentifizierung, kein gar nichts. Es ist ein öffentlicher Eimer“, so ein Beitrag auf 4chan, berichtet 404Media.

Es wurde hinzugefügt: „FÜHRERSCHEINE UND GESICHTSFOTOS! KOMMT VERDAMMT NOCHMAL HIERHER BEVOR SIE ES SCHLIEßEN!“

Tea bestätigte den Datenverstoß gegenüber 404 Media und sagte, dass er ältere Daten von vor mehr als zwei Jahren betraf und 72.000 Bilder, 13.000 Selfies und Foto-IDs sowie 59.000 andere Bilder aus Beiträgen und Nachrichten umfasste.

„Diese Daten wurden ursprünglich gemäß den gesetzlichen Anforderungen zur Verhinderung von Cyber-Mobbing gespeichert“, erklärte das Unternehmen.

Die durchgesickerten Daten enthalten auch Direktnachrichten. 404 Media bestätigte die Offenlegung, indem sie die Android-App dekompilierte und die gleiche Speicher-URL lokalisierte, die auf 4chan geteilt wurde.

„Die Bilder im Bucket sind roh und unzensiert“, schrieb ein Nutzer. Andere auf 4chan haben sogar Skripte erstellt, um die durchgesickerten Daten automatisch zu sammeln.

Der Verifizierungsprozess für Tea erfordert, dass Benutzerinnen sowohl ein Selfie als auch ein Ausweisfoto hochladen, um ihre weibliche Identität zu bestätigen, bevor sie der Plattform beitreten. Die Plattform ermöglicht es Frauen, anonyme Warnungen über Männer zu teilen, durch ein System, das funktioniert wie die „Datieren wir den gleichen Kerl?“-Facebook-Gruppen.

Nachdem der Datenbruch entdeckt wurde, erklärte Tea, dass es mit Cybersecurity-Experten zusammenarbeitet und sagte in einer E-Mail an 404Media, dass „der Schutz der Privatsphäre und der Daten unserer Benutzerinnen unsere höchste Priorität ist“.

404Media merkt an, dass der ursprüngliche 4chan-Thread inzwischen entfernt wurde, aber archivierte Versionen weiterhin im Umlauf sind.