L’application de rencontres Tea victime d’une importante fuite de données exposant les informations des utilisateurs

L’application de rencontres Tea, qui vise à aider les femmes à partager des avertissements concernant les hommes qu’elles ont fréquentés, a subi une importante faille de sécurité ayant exposé des données sensibles des utilisateurs. Selon les rapports, des hackers ont accédé et publié des milliers d’images, notamment des selfies et des permis de conduire, principalement de femmes, sur le forum en ligne 4chan. Des messages privés abordant des sujets personnels tels que l’infidélité et l’avortement se sont également révélés vulnérables à un accès non autorisé.

Tea, qui a récemment atteint le sommet de l’App Store d’Apple et revendique plus de 4 millions d’utilisateurs actifs, a confirmé qu’elle travaille avec des sociétés externes de cybersécurité et les forces de l’ordre pour enquêter sur l’incident. L’entreprise a déclaré avoir lancé « une enquête complète avec l’aide de sociétés externes de cybersécurité » et coopère avec les autorités.

La fuite concernerait environ 72 000 images, dont 13 000 selfies et permis de conduire, le reste étant constitué d’autres contenus téléchargés par les utilisateurs. Alors que Tea avait initialement indiqué que seuls les utilisateurs inscrits avant février 2024 étaient concernés, des chercheurs indépendants ont découvert que des messages envoyés aussi récemment que la semaine dernière restent accessibles, indiquant des risques de sécurité persistants.

Des experts ont critiqué l’utilisation par Tea de Firebase, un service cloud appartenant à Google, pour stocker des informations sensibles sans protections adéquates. Peter Dordal, professeur en réseaux en ligne et sécurité à l’Université Loyola de Chicago, a qualifié la déclaration de conformité légale de l’entreprise de « trompeuse », notant que les forces de l’ordre ne fixent pas de telles exigences et que les images sensibles n’auraient pas dû être accessibles publiquement. Grant Ho, professeur assistant à l’Université de Chicago, a décrit les pratiques de sécurité de l’entreprise comme négligentes, affirmant que les données privées ne devraient pas être stockées sur des serveurs accessibles au public et devraient au minimum être chiffrées.

L’incident a également suscité une réaction négative de la part des communautés en ligne, y compris des groupes de défense des droits des hommes, certains critiquant l’application comme diffamatoire. Une application de représailles a été brièvement lancée mais a rapidement été retirée après des signalements d’abus.

Andrew Guthrie Ferguson, professeur de droit à l’Université George Washington, a commenté que les réseaux de chuchotements numériques manquent de la confidentialité des réseaux hors ligne, avertissant : « Vous perdez le contrôle dessus. Vous ne pouvez pas le garder dans le cercle des personnes en qui vous avez confiance. »