Ha sido la propia Tea quien ha confirmado, a través de Reuters, el hackeo a la plataforma de citas diseñada para mujeres. Esta app, en concreto, permite advertir, mediante opiniones anónimas, de las Red Flags de algunos hombres con los que han tenido una cita o se encuentran en otras aplicaciones de citas. La app, incluso, puede advertir a las mujeres de que la persona que hay detrás de un perfil, no corresponde con la persona que está saliendo.

Tea se ha vuelto muy popular durante las últimas semanas, pese a sus opiniones divididas sobre la privacidad de los usuarios a la hora de publicar reseñas de hombres o citas. Y esto, aparentemente, es lo que ha hecho que los hackers decidieran atacar los servidores de la app de citas con el objetivo de obtener datos personales de sus clientes. La propia compañía revela que no se han filtrado información como los números de teléfono o direcciones de correo electrónico. No obstante, sí han conseguido obtener un total de 72.000 imágenes de usuarios.

De estas, 13.000 son selfies e identificaciones que la app Tea utiliza para verificar a sus usuarios, y son completamente privadas. Las 59.000 imágenes restantes son de publicaciones, comentarios y fotografías que los usuarios envían mediante mensajes directos. Los clientes afectados son aquellos que se inscribieron antes de febrero de 2024.

   El viernes, una usuaria anónima publicó en 4chan que Tea utilizaba un contenedor de almacenamiento no seguro de Firebase para almacenar licencias de conducir y selfies subidas por sus miembros para verificar su identidad femenina, así como fotos e imágenes compartidas en los comentarios.

La usuaria compartió un script de Python que permitía descargar los datos del contenedor de almacenamiento, ahora seguro. En total, más de 59 GB de datos quedaron expuestos en la filtración, y Tea confirmó en un comunicado público que afecta a los usuarios registrados antes de 2024. "Un sistema de almacenamiento de datos heredado se vio comprometido, lo que resultó en un acceso no autorizado a un conjunto de datos anterior a febrero de 2024".

Este conjunto de datos incluye aproximadamente 72.000 imágenes, incluyendo aproximadamente 13.000 selfies y documentos de identificación con foto enviados por los usuarios durante la verificación de la cuenta, y aproximadamente 59.000 imágenes visibles públicamente en la aplicación a partir de publicaciones, comentarios y mensajes directos.

La plataforma afirma que los selfies no se eliminaron como se esperaba para cumplir con los requisitos de las fuerzas del orden en relación con la prevención del ciberacoso.

Los actores de amenazas han comenzado a compartir una gran cantidad de los datos filtrados en foros, lo que podría exponer a los miembros de la aplicación a ataques de ingeniería social.

BleepingComputer ha confirmado que los datos compartidos contienen licencias de conducir, selfies y archivos adjuntos de mensajes. Para empeorar las cosas, 404 Media informa que se encontró una base de datos adicional con 1,1 millones de mensajes privados enviados entre usuarios de la plataforma Tea. Esta base de datos contiene datos mucho más recientes, desde 2023 hasta la semana pasada, y, según se informa, incluye mensajes que abordan temas delicados, como abortos, infidelidades y parejas infieles.

Kasra Rahjerdi, la investigadora que descubrió la base de datos, declaró a 404 Media que cualquier usuario de Tea podía acceder a los datos almacenados utilizando su propia clave API.

Según 404 Media, es posible identificar a los usuarios a partir de sus perfiles en redes sociales, números de teléfono u otros datos personales revelados en los mensajes. 

Lo que se suponía que era un espacio seguro para mujeres se ha convertido en una herramienta para avergonzarlas, e incluso se ha creado un sitio web similar a "facesmash" donde los visitantes pueden calificar las selfies expuestas en los datos filtrados.

Tea afirma que sigue trabajando con expertos en ciberseguridad externos para contener el incidente y llevar a cabo una investigación del ataque. La aplicación afirma que también notificó a las fuerzas del orden, quienes están colaborando con la investigación. 

Tea confirma que mejorarán la seguridad de sus servidores

Aparentemente, Tea no puede hacer nada al respecto sobre la filtración de las 72.000 imágenes de su app. No obstante, confirman que han mejorado la seguridad y que trabajan para proteger los servidores de futuros ataques. “Hemos contratado a expertos en ciberseguridad de terceros y estamos trabajando las 24 horas del día para proteger nuestros sistemas”, ha confirmado la compañía.

Por el momento, no hay nada que los usuarios de la app de citas Tea puedan hacer ante el hackeo. No obstante, hay una serie de recomendaciones que pueden seguir para mejorar la seguridad de sus cuentas. Una de ellas es cambiar la contraseña periódicamente, así como utilizar un sistema de verificación en dos pasos.

Fuentes:

https://hipertextual.com/seguridad/hackean-tea-la-app-de-citas-viral-y-roban-fotos-privadas-de-sus-usuarios/