La aplicación de citas Tea sufre una gran brecha de datos que expone información de usuarios

La aplicación de citas Tea, que tiene como objetivo ayudar a las mujeres a compartir advertencias sobre hombres con los que han salido, ha experimentado una gran brecha de seguridad que expuso datos sensibles de los usuarios. Según informes, hackers accedieron y publicaron miles de imágenes, incluyendo selfies y licencias de conducir, principalmente de usuarias, en el foro en línea 4chan. También se encontró que mensajes privados que discutían temas personales como infidelidad y aborto eran vulnerables a accesos no autorizados.

Tea, que recientemente alcanzó la cima de la App Store de Apple y afirma tener más de 4 millones de usuarios activos, confirmó que está trabajando con firmas externas de ciberseguridad y las autoridades para investigar el incidente. La empresa declaró que ha iniciado "una investigación completa con la asistencia de firmas externas de ciberseguridad" y está cooperando con las autoridades.

La brecha involucró supuestamente 72,000 imágenes, de las cuales 13,000 eran selfies y licencias de conducir, y el resto consistía en otro contenido subido por los usuarios. Mientras que Tea inicialmente dijo que solo los usuarios registrados antes de febrero de 2024 se vieron afectados, investigadores independientes encontraron que mensajes enviados tan recientemente como la semana pasada siguen siendo accesibles, lo que indica riesgos de seguridad continuos.

Expertos han criticado el uso que Tea hace de Firebase, un servicio en la nube propiedad de Google, para almacenar información sensible sin protecciones adecuadas. Peter Dordal, profesor de redes en línea y seguridad en la Universidad Loyola de Chicago, dijo que la afirmación de la empresa sobre el cumplimiento legal era "engañosa", señalando que las autoridades no establecen tales requisitos y que las imágenes sensibles no deberían haber estado accesibles públicamente. Grant Ho, profesor asistente en la Universidad de Chicago, describió las prácticas de seguridad de la empresa como negligentes, afirmando que los datos privados no deberían almacenarse en servidores accesibles públicamente y deberían estar cifrados como mínimo.

El incidente también ha generado reacciones negativas en comunidades en línea, incluyendo grupos por los derechos de los hombres, algunos de los cuales han criticado la aplicación por difamatoria. Se lanzó brevemente una aplicación de represalia, pero fue retirada rápidamente tras reportes de mal uso.

Andrew Guthrie Ferguson, profesor de derecho en la Universidad George Washington, comentó que las redes digitales de susurros carecen de la privacidad de las offline, advirtiendo: "Pierdes el control sobre ello. No puedes mantenerlo dentro del círculo de personas en las que confías."