Iván Linares
Editor SeniorTea es una aplicación dirigida a las mujeres, con un enfoque feminista y destinada a garantizar la seguridad de sus citas. Curiosamente, esta seguridad se ha vuelto en contra de la app y de las usuarias: la mayor parte de los datos privados ha acabado en la red tras varias filtraciones masivas. Toda una demostración de lo vulnerables que son nuestros datos personales cuando los volcamos en una app que no es tan segura como nos dicen.
Los precedentes. La idea detrás de Tea es que las mujeres tuvieran un espacio seguro en el que compartir sus experiencias sentimentales y así poner en alerta a otras mujeres ante posibles relaciones, parejas y personas que pudieran suponer un riesgo para ellas. Dado que toda esta información es sensible, Tea requiere un registro exhaustivo y personal: durante un tiempo exigió hasta identificación oficial, como el carnet de conducir estadounidense. Y un selfie.
Tea asegura ser un espacio seguro. Imagen de Tea Dating App
Datos de acceso extremadamente privados, información compartida con datos personales anónimos que desconocían las personas implicadas y toneladas de registros añadidos como fotos etiquetadas, identificaciones y otra información privada. Todo guardado en Firebase sin una correcta protección ni cifrado pese a que la plataforma de Google sí que lo ofrece. El caldo de cultivo perfecto para una filtración.
Tea se hace viral. La aplicación saltó a las tiendas móviles en 2023, pero no fue hasta este julio cuando se hizo viral explotando en registros. Alcanzó el número 1 de la App Store y marcó el inicio del desastre. La atención mediática atrajo también a los hackers.
El 25 de julio se detectó la primera fuga de datos de la aplicación Tea. Imágenes privadas, documentos oficiales, geolocalizaciones... Primero de la actividad previa a 2024, una segunda filtración, del 28 de julio, reveló mensajes recientes de sus usuarias. El agujero de privacidad es tan enorme, que por foros como el de 4Chan circulan mapas precisos con la ubicación de las usuarias de Tea.
Una app que garantizaba su seguridad y que no era segura. Tea declara ser un entorno seguro donde las mujeres pueden sentirse libres de expresarse como deseen. La realidad es que la plataforma utilizaba los servicios de Firebase sin aplicar correctamente las medidas de seguridad:
- Tea utilizaba la Firebase Realtime Database (base de datos NoSQL en tiempo real) sin que la plataforma protegiese el acceso a las URLs de almacenamiento.
- Se utilizó el sistema de almacenamiento de Firebase para guardar los datos de acceso: identificaciones y selfies. Ese almacenamiento quedaba accesible sin autenticación.
Una combinación devastadora. Por un lado, tenemos una aplicación que almacena una enorme cantidad de datos privados y sensibles que, se supone, deben ser anónimos. Por el otro lado, la plataforma se diseñó dejando unos agujeros flagrantes de seguridad. La viralización de Tea, y su marcado componente feminista, hicieron el resto.
Geolocalización de usuarias a partir de la filtración de Tea. Imagen de Genddy
La plataforma sigue en activo, tanto en iPhone como en Android. Tras los devastadores acontecimientos que pusieron patas arriba la privacidad de las usuarias, y de aquellas personas que aparecían en los mensajes de Tea sin ser conscientes de que circulaban sus datos, todo apunta a que la plataforma se enfrenta a un litigio multimillonario. Y nos deja unas enseñanzas que deberíamos tener en cuenta.
Toca medir los datos que le damos a las apps. No es lo mismo una aplicación de mensajería que una bancaria, los niveles de seguridad de cada una implicarán más o menos datos privados de acceso. Y es justo lo que debemos medir: una app merece la información justa para el uso que da. Si nos pide más lo mejor es obviar su uso.
Las aplicaciones ya no se conforman con pedir el email y un usuario, buscan el número de teléfono, direcciones físicas y hasta fotos de registro. Dado que no sabemos realmente cómo se almacenan estos datos, debemos valorar si la aplicación ofrece suficiente confianza como para darle nuestra información. Y lo mismo que en el paso anterior: si existe la menor duda, «next».
Imagen de portada | ChatGPT editada
En Xataka Móvil | La estafa del "nuevo router gratis": cambiar tu router WiFi por uno mejor gratis es posible, pero cuidado
Ver 1 comentarios