Chat GPT
Oto techniczne szczegóły dotyczące wycieku danych z aplikacji Tea oraz przebieg incydentu — bez ujawniania danych samych użytkowników:
Jak doszło do wycieku?
Legacy storage i niewłaściwa konfiguracja Firebase
Dane pochodziły głównie z archiwalnego systemu przechowywania (legacy storage), w którym znajdowało się około 72 000 obrazów – w tym 13 000 weryfikacyjnych selfie i zdjęć dowodów tożsamości, oraz 59 000 zdjęć z postów, komentarzy i wiadomości
Serwis wykorzystuje Google Firebase, ale zasobnik danych (bucket) był skonfigurowany z ustawieniami domyślnymi — bez zabezpieczeń takich jak uwierzytelnienie, szyfrowanie czy kontrola dostępu. Skutkiem była możliwość pobierania zawartości bez logowania się.
Kod generowany przez AI („vibe coding”) bez zabezpieczeń
Firma bardzo polegała na AI (np. generowanie kodu przez ChatGPT) bez wystarczających przeglądów bezpieczeństwa. Eksperci wskazują, że AI-generated code może zawierać liczne luki – co w tym wypadku doprowadziło do pozbawienia prywatnych danych jakiejkolwiek ochrony.
Brak szyfrowania i autoryzacji
Okazało się, że baza była publicznie dostępna — bez szyfrowania, bez wymogu logowania oraz bez ograniczeń typu "read-only". Atakujący mogli przeglądać, kopiować, a często także automatycznie pobierać dane.
Jak ujawniono wyciek?
Incydent został wykryty poprzez publikację linku na 4chanie, gdzie użytkownicy chwalili się dostępem do tej bazy i jej zawartością.
Portal 404 Media jako pierwszy poinformował o wycieku, a następnie informacje były powielane przez inne media (Business Insider, Washington Post, Reuters, Barron’s), powołując się na potwierdzenia firmy Tea.
Aplikacja zareagowała prawdopodobnie w piątek 25 lipca 2025 r., zaraz po zidentyfikowaniu nieautoryzowanego dostępu o godzinie 6:44 AM PST (czyli ok. 15:44 czasu warszawskiego).
Podsumowanie przyczyn incydentu
Problem Co się wydarzyło
Publiczny dostęp do danych był otwarty, dane dostępne publicznie
Brak autoryzacji i szyfrowania Żadne zabezpieczenia warstwy dostępu nie były stosowane
Archiwum pozostawione otwarte Dane starsze niż luty 2024 leżały niechronione
Brak audytu AI‑code Automatycznie wygenerowany kod nie przeszedł bezpeiczeń testów
