Tea app: ID-foto's in open cloudopslag
Een app voor veilig daten bewaarde selfies en ID-bewijzen in opslag die voor iedereen open stond.
Wat er gebeurde
Tea is een Amerikaanse app voor veilig daten, voor vrouwen. Nieuwe gebruikers bewijzen wie ze zijn met een selfie en, volgens de berichten, een foto van hun ID-bewijs.
Op 25 juli 2025 meldden gebruikers van 4chan dat de opslag van Tea op Google Firebase openbaar was. Ze plaatsten selfies en ID-bewijzen van gebruikers. 404 Media bevestigde dat de URL van de opslag overeenkwam met een URL in de Android-app van Tea.
Tea bevestigde dat iemand zonder toestemming in "one of our systems" was gekomen, en zei dat de data meer dan twee jaar oud was. Volgens Tea lekte ook een deel van de directe berichten.
De oorzaak
Een opslagbucket zonder authenticatie ("It's a public bucket", schreef iemand op 4chan, geciteerd door 404 Media). Oude data stond in een oude opslag die niemand had afgesloten.
De schade
Ongeveer 72.000 afbeeldingen volgens Tea, waaronder selfies, foto's van ID-bewijzen en afbeeldingen uit berichten (Engadget). Tea had toen naar eigen zeggen meer dan 1,6 miljoen gebruikers (404 Media).
Wat beheer anders had gedaan
Maak een lijst van alle opslagbuckets, ook de oude. Zet openbare toegang standaard uit. Verwijder verificatiedata die je niet meer hoeft te bewaren.
Regelmatige controles van buitenaf vinden een open bucket. Voor deze fout is geen AI nodig.
Beheer haalt niet elk risico weg. Het zorgt wel dat iemand kijkt voordat het misgaat, en dat er een back-up ligt als het toch gebeurt.