TEA app hack – 72 000 permis de conduire balancés sur 4chan à cause de Firebase
Alors là, c’est le pompon. Une app de rencontre censée protéger les femmes vient de se retrouver avec 72 000 photos perso sur 4chan. Selfies, permis de conduire, messages privés… tout ça parce que les devs ont laissé leur Firebase grand ouvert comme une porte de saloon. Force donc aux femmes qui vont subir le harcèlement des trolls à cause de cette incompétence monumentale.
TEA, c’est cette app qui cartonne en ce moment. Numéro 1 sur l’App Store cette semaine, elle revendique plus de 1,6 million d’utilisatrices et des dizaines de milliers d’avis.
Le concept ? Les femmes peuvent échanger des infos sur les mecs qu’elles rencontrent, vérifier s’ils sont clean, pas des catfish, et pas déjà en couple. Pour s’inscrire, faut donc prouver qu’on est une femme avec un selfie et une pièce d’identité. Logique pour éviter les infiltrations. Sauf que…
Les génies derrière l’app ont stocké TOUTES ces données de vérification dans un bucket Firebase sans aucune authentification. Genre vraiment aucune. Même pas un mot de passe basique. Les mecs de 4chan ont juste eu à trouver l’URL et hop, open bar pour le scrapping. “DRIVERS LICENSES AND FACE PICS! GET THE FUCK IN HERE BEFORE THEY SHUT IT DOWN!” qu’ils criaient sur leur forum de dégénérés. Comme des vautours qui ont trouvé une carcasse.
Le truc qui me tue, c’est que Firebase, c’est pas sécurisé par défaut. Amazon S3 verrouille tout, et faut vraiment le vouloir pour rendre public. Firebase, eux, non, c’est porte grande ouverte direct. Les devs qui l’utilisent peuvent choisir entre “Locked mode” (tout fermé) ou “Test mode” (tout ouvert) et devinez ce qu’ont choisi les champions de TEA ?
Et les trolls de 4chan ? Ils n’ont pas perdu une seconde. Ils ont créé des scripts Python pour automatiser le téléchargement de milliers de photos aspirées avant que Google ferme enfin le robinet. 13 000 selfies et permis de conduire. 59 000 images de posts et messages privés. Et des femmes qui pensaient être en sécurité et qui se retrouvent exposées aux pires raclures d’internet.
TEA essaie bien sûr de minimiser en disant que les données ont plus de 2 ans. Ah bah ça va alors, c’est des vieux permis de conduire ! Genre ça change quoi ? Les permis de conduire, ils n’expirent pas en 2 ans. Les adresses non plus. Et puis franchement, même si c’était des données d’hier ou d’il y a 10 ans, c’est inacceptable. Ces femmes ont fait confiance à une app qui promettait de les protéger, et résultat, elles sont servies sur un plateau aux harceleurs.
Mais le pire dans tout ça, c’est que c’est pas un cas isolé. En mars 2024, trois chercheurs en sécurité ont trouvé près de 20 millions de mots de passe en clair sur des Firebase mal configurés ainsi que 125 millions de dossiers utilisateurs exposés sur 916 sites web. Firebase, c’est donc devenu le paradis des fuites de données.
Et pourquoi ? Parce que les devs copient-collent des tutos Stack Overflow sans comprendre ce qu’ils font. “Tiens, ça marche en mode test, on ship !” Non mais allo quoi.
Bref, arrêtez avec Firebase si vous ne savez pas ce que vous faites. Prenez Supabase, c’est open source et sécurisé par défaut. Ou Appwrite qui a des SDK pour tout et qui prend la sécurité au sérieux. Même PocketBase, qui tient dans un seul fichier exécutable, est plus sûr que votre Firebase mal configuré. Ces alternatives ont d’ailleurs toutes un point commun : elles vous forcent à réfléchir à la sécurité au lieu de vous laisser tout grand ouvert.
Pour les utilisatrices de TEA, je sais que ça craint. Vérifiez vos comptes bancaires, changez vos mots de passe partout, et surveillez toute activité suspecte. Pensez aussi à utiliser un numéro virtuel pour les apps de rencontre à l’avenir. Et si vous recevez des messages chelous, bloquez et signalez. Puis si vous avez des preuves de harcèlement suite à cette fuite, portez plainte.
Bref, force à toutes celles qui vont devoir gérer les retombées de ce désastre. J’espère que TEA va prendre ses responsabilités, dédommager les victimes, et virer les incompétents.
Source : korben.info