App TeaOnHer expone datos personales de miles de usuarios

Fotos de carnés de conducir y documentos oficiales quedaron accesibles en la web. Fallos de seguridad en la API de la aplicación permitieron el acceso sin autenticación. El desarrollador no respondió a las solicitudes de comentarios.

«Datos al descubierto en menos de 10 minutos»

TechCrunch descubrió que la API de TeaOnHer permitía consultar información sensible sin credenciales, incluyendo direcciones de correo, ubicaciones y enlaces a documentos de identidad almacenados en servidores públicos de Amazon. «Cualquiera podía acceder a los datos con solo pulsar un botón», según el informe. La app, diseñada para compartir información sobre relaciones sentimentales, ocupaba el puesto #2 en la App Store durante la investigación.

Credenciales expuestas y falta de respuesta

El panel de administración de TeaOnHer mostraba credenciales en texto plano (usuario y contraseña) en su página de API pública. Xavier Lampkin, desarrollador de la app, ignoró múltiples solicitudes de TechCrunch y afirmó inicialmente que «no había filtración». Tras recibir pruebas, prometió solucionarlo, pero no confirmó si notificaría a los afectados.

Un contexto de riesgos crecientes

Aplicaciones como TeaOnHer exigen documentos de identidad para verificar usuarios, una práctica extendida por leyes de verificación de edad. Sin embargo, fallos técnicos recurrentes en estas plataformas exponen datos sensibles. El caso replica problemas ya detectados en apps similares, como «Tea».

¿Se cerró la filtración?

Tras la investigación, TeaOnHer restringió el acceso público a su API y a los documentos subidos. Sin embargo, no hay confirmación sobre posibles accesos malintencionados previos ni medidas concretas para proteger a los usuarios afectados. La app sigue disponible en la App Store.