女性の安全なデートを支援することを目的としたティーアプリにおいて、2つの大きなセキュリティ脆弱性が発見され、少なくとも数万人のユーザーの個人チャットや個人データが流出したと発表しました。
このアプリは、女性が過去にデートした男性について「警告」を共有できるように設計されており、先週App Storeでトップにランクインした後、400万人のアクティブユーザーがいるとしています。
ティーアプリは、女性ユーザーがデート相手のプロフィールに「警告」を付けられる機能や、逆画像検索でプロフィールの背後にいる男性を特定できる機能を提供しています。「警告」には、連絡を絶つ行為や既に関係を持っていること、性的暴行などが含まれます。
しかし、プライバシーの観点から既に論争を呼んでおり、一部の男性は自分のプロフィールがソーシャルメディアとリンクされることが不当であると主張しています。
最初のセキュリティ侵害について、404 Mediaは先週、4chanユーザーが個人データを含むデータベースを発見したと報じました。データには、セルフィーや運転免許証の画像が含まれており、アプリのID確認に使用されていました。
ユーザーはアプリにアップロードされた個人データやセルフィーを閲覧し、そのデータをオンラインで公開しているとされています。ティーは、404 Mediaへの声明で、この侵害は一部のダイレクトメッセージにも影響を与えたと認めましたが、データは2年前のものであるとしています。
しかし、データが2年前のものであるという主張は長く続きませんでした。404 Mediaの続報によれば、ハッカーは最近のプライベートメッセージにもアクセスできたということです。
ティーアプリにおける2つ目の大きなセキュリティ問題は、女性のデート安全アプリとしての位置づけに対して、さらに多くのユーザーデータが流出したことを示しています。独立したセキュリティ研究者は、ユーザー間で交わされた中絶や不倫のパートナー、電話番号のやり取りを含むメッセージにアクセスできることを発見したとしています。
ティーの最初の声明では、「事件は2年以上前のデータを含む旧データストレージシステムに関与している」としていましたが、研究者の調査によれば、別のデータベースに影響を与える2つ目の問題は、先週までのメッセージに影響を与えているということです。
チャットはユーザー名に関連付けられていましたが、実際の名前ではありませんでした。しかし、チャットの内容からアカウント保有者を特定することは容易であったとされています。女性ユーザーは頻繁にソーシャルメディアのリンクを共有していたためです。
また、男性のアカウント保有者も簡単に特定できたということです。
報告によれば、7万枚以上の画像が流出したとされていますが、これは氷山の一角に過ぎない可能性があります。会社は最初の侵害が発見される前に160万人のユーザーがいるとしています。
専門家は、アイデンティティ確認に使用されたセルフィーやID写真は、プロセスが完了した後に保持されるべきではなく、ユーザー間のプライベートチャットはエンドツーエンド暗号化によって保護されるべきであると指摘しています。これらの基本的なセキュリティ対策が守られていなかったことは、女性を保護することを目的とし、最もセンシティブな個人データの共有を奨励するアプリにおいて懸念されるべき事柄です。
また、英国法が技術企業に対してプライベートメッセージへのバックドアアクセスを提供することを要求する週にこの問題が発生したことは、やや皮肉なことです。
