Vazamento no app Tea expõe 72 mil imagens de usuários incluindo documentos sensíveis

Um grande vazamento de dados no Tea, um aplicativo de encontros que se posiciona como uma alternativa mais segura através da verificação de identidade dos usuários, expôs aproximadamente 72 mil imagens sensíveis de usuários. Os dados comprometidos incluem selfies pessoais, carteiras de motorista e outros documentos oficiais de identificação que os usuários enviaram para verificação de perfil.

O banco de dados exposto, descoberto por pesquisadores de cibersegurança, continha imagens não criptografadas armazenadas em um bucket de armazenamento em nuvem publicamente acessível. Essa falha de segurança permitiu que qualquer pessoa com conhecimento técnico acessasse o tesouro de dados pessoais sem autenticação. As imagens parecem ter ficado expostas por um período indeterminado antes da descoberta.

O Tea se diferencia no saturado mercado de aplicativos de relacionamento por exigir verificação com documento de identidade para combater perfis falsos. Ironicamente, esse recurso de segurança se tornou a vulnerabilidade crítica do aplicativo quando os materiais de verificação não foram protegidos adequadamente.

Profissionais de cibersegurança expressaram preocupação especial com a exposição de documentos oficiais. 'Combinar imagens faciais com identificações oficiais cria condições perfeitas para roubo de identidade', observou João Silva, especialista em identidade digital da SecureFuture. 'Agentes maliciosos poderiam usar essas informações para burlar verificações KYC em instituições financeiras ou criar identidades sintéticas.'

O vazamento também levanta questões sobre práticas de minimização de dados em aplicativos de encontros. 'Por que manter cópias de documentos sensíveis após a verificação?', questionou a pesquisadora de segurança Ana Oliveira. 'A melhor prática seria verificar e depois excluir imediatamente os documentos, armazenando apenas metadados sobre o status de verificação.'

Até o fechamento desta edição, o Tea não emitiu um comunicado oficial sobre a linha do tempo do vazamento, sua causa raiz ou esforços de reparação. O incidente serve como um alerta contundente de que aplicativos que coletam dados pessoais sensíveis devem implementar medidas de segurança robustas em cada estágio do tratamento de dados, especialmente quando se comercializam como alternativas conscientes em segurança.

Especialistas jurídicos sugerem que o vazamento pode violar regulamentações de proteção de dados como GDPR e CCPA, dependendo da base de usuários e práticas de tratamento de dados do aplicativo. Recomenda-se que os usuários monitorem suas contas financeiras e considerem congelamentos de crédito caso tenham enviado documentos de identificação para a plataforma.