تسريب تطبيق Tea: 72 ألف صورة مكشوفة بسبب مساحة تخزين سيئة الإعداد

في يوليوز 2025، ترك تطبيق Tea مساحة تخزين مفتوحة على الإنترنت، فانكشفت صور شخصية ووثائق هوية استُعملت للتحقق من مستخدماته. لم يتطلب الأمر أي هجوم متطور. دروس لكل من يبني تطبيقًا.

في أواخر يوليوز 2025، اكتشف مستخدمون في منتدى 4chan أن مساحة تخزين يستعملها تطبيق Tea، المنتشر بين النساء في الولايات المتحدة، مفتوحة للجميع. وكانت فيها صور أرسلتها المستخدمات، منها صور شخصية ووثائق هوية تُستعمل للتحقق من الحسابات.

ما الذي انكشف

• أكدت Tea حوالي 72 ألف صورة، منها قرابة 13 ألف صورة شخصية وصورة وثيقة هوية، و59 ألف صورة من المنشورات والتعليقات والرسائل.
• حسب الشركة، كانت الملفات في نظام قديم وتخص من سجّلن قبل فبراير 2024.
• بعد أيام، وجد باحث أمني مشكلة ثانية: رسائل خاصة يمكن لأي مستخدم مسجّل الوصول إليها عبر واجهة برمجة التطبيق.

ليست قرصنة، بل خطأ في الإعداد

كانت مساحة التخزين مستضافة على Firebase، وهي خدمة من Google يكون التخزين فيها خاصًا افتراضيًا. لكن أحدهم فتحها للعموم. لم تُكسر أي كلمة مرور: كانت الملفات ببساطة متاحة عبر عنوانها. وأشار عدد من المحللين أيضًا إلى شيفرة كُتبت بسرعة دون مراجعة أمنية حقيقية.

دروس لكل من يبني تطبيقًا أو موقعًا

• التحقق من قواعد الوصول لكل مساحة تخزين وقاعدة بيانات قبل الإطلاق، ثم بعد كل تعديل.
• حذف وثائق التحقق بعد انتهاء المراقبة، فوثيقة الهوية التي لا تحتفظ بها لا يمكن أن تتسرب.
• اختبار التطبيق كما يفعل شخص غريب: هل يمكن الوصول إلى ملف أو واجهة دون الحساب المناسب؟
• مراجعة الشيفرة، بما فيها الشيفرة التي تولّدها أدوات الذكاء الاصطناعي، قبل وضعها في الإنتاج.

السرعة أم الإتقان

الإطلاق السريع مغرٍ. لكن عندما يتعامل التطبيق مع وثائق الهوية، قد يكشف إعداد واحد منسي آلاف الأشخاص. يجب أن يكون الأمن جزءًا من قائمة الإطلاق، لا شيئًا يُؤجل إلى وقت لاحق.

أبسط التسريبات تأتي من باب تُرك مفتوحًا، لا من قفل كُسر.

المصادر: البلاغ الرسمي لتطبيق Tea، CyberInsider، Simon Willison، teiss، يوليوز 2025.

تطلق تطبيقًا أو موقعًا يتعامل مع بيانات شخصية؟ صِف لنا مشروعك عبر استمارة التقدير، وسنرد عليك بتقدير مناسب والخطوات التالية.