Za takie coś powinni ostro beknąć. Zwłaszcza to nieusuwanie zdjęć dowodów osobistych zaraz po weryfikacji. Inną sprawą jest to, że ufanie jakimś losowym aplikacjom, że zabezpieczą takie dane bywa naiwne.

podobno baza danych nie miala hasla i byla wystawiona na internet

@kontrabanda gdy vibe coding wejdzie za mocno. Kto by tam chciał płacić profesjonalnym bezpiecznikom ( ͡° ͜ʖ ͡°)

Chat GPT

Oto techniczne szczegóły dotyczące wycieku danych z aplikacji Tea oraz przebieg incydentu — bez ujawniania danych samych użytkowników:

Jak doszło do wycieku?

Legacy storage i niewłaściwa konfiguracja Firebase

Dane pochodziły głównie z archiwalnego systemu przechowywania (legacy storage), w którym znajdowało się około 72 000 obrazów – w tym 13 000 weryfikacyjnych selfie i zdjęć dowodów tożsamości, oraz 59 000 zdjęć z postów, komentarzy i wiadomości

Serwis wykorzystuje Google Firebase, ale zasobnik danych (bucket) był skonfigurowany z ustawieniami domyślnymi — bez zabezpieczeń takich jak uwierzytelnienie, szyfrowanie czy kontrola dostępu. Skutkiem była możliwość pobierania zawartości bez logowania się.

Kod generowany przez AI („vibe coding”) bez zabezpieczeń

Firma bardzo polegała na AI (np. generowanie kodu przez ChatGPT) bez wystarczających przeglądów bezpieczeństwa. Eksperci wskazują, że AI-generated code może zawierać liczne luki – co w tym wypadku doprowadziło do pozbawienia prywatnych danych jakiejkolwiek ochrony.

Brak szyfrowania i autoryzacji

Okazało się, że baza była publicznie dostępna — bez szyfrowania, bez wymogu logowania oraz bez ograniczeń typu "read-only". Atakujący mogli przeglądać, kopiować, a często także automatycznie pobierać dane.

Jak ujawniono wyciek?

Incydent został wykryty poprzez publikację linku na 4chanie, gdzie użytkownicy chwalili się dostępem do tej bazy i jej zawartością.

Portal 404 Media jako pierwszy poinformował o wycieku, a następnie informacje były powielane przez inne media (Business Insider, Washington Post, Reuters, Barron’s), powołując się na potwierdzenia firmy Tea.

Aplikacja zareagowała prawdopodobnie w piątek 25 lipca 2025 r., zaraz po zidentyfikowaniu nieautoryzowanego dostępu o godzinie 6:44 AM PST (czyli ok. 15:44 czasu warszawskiego).

Podsumowanie przyczyn incydentu

Problem Co się wydarzyło

Publiczny dostęp do danych był otwarty, dane dostępne publicznie

Brak autoryzacji i szyfrowania Żadne zabezpieczenia warstwy dostępu nie były stosowane

Archiwum pozostawione otwarte Dane starsze niż luty 2024 leżały niechronione

Brak audytu AI‑code Automatycznie wygenerowany kod nie przeszedł bezpeiczeń testów