Fuite de l’application Tea : 72 000 images exposées par un espace de stockage mal configuré

En juillet 2025, l’application Tea a laissé un espace de stockage ouvert sur Internet, exposant des selfies et des pièces d’identité utilisés pour vérifier ses utilisatrices. Aucune attaque sophistiquée n’a été nécessaire. Les leçons pour toute application.

Fin juillet 2025, des utilisateurs du forum 4chan ont découvert qu’un espace de stockage de Tea, une application populaire auprès des femmes aux États-Unis, était accessible à tous. On y trouvait des photos envoyées par les utilisatrices, dont les selfies et les pièces d’identité servant à vérifier leur compte.

Ce qui a été exposé

• Tea a confirmé environ 72 000 images, dont près de 13 000 selfies et photos de pièces d’identité, et 59 000 images issues de publications, commentaires et messages.
• Selon l’entreprise, les fichiers venaient d’un ancien système et concernaient les personnes inscrites avant février 2024.
• Quelques jours plus tard, un chercheur a trouvé un second problème : des messages privés accessibles à n’importe quel utilisateur connecté via l’API de l’application.

Pas un piratage, une erreur de configuration

L’espace de stockage était hébergé sur Firebase, un service de Google dont le stockage est privé par défaut. Quelqu’un l’avait ouvert au public. Aucun mot de passe n’a été cassé : les fichiers étaient simplement accessibles à leur adresse. Plusieurs analystes ont aussi pointé un code écrit vite, sans vraie revue de sécurité.

Les leçons pour toute application ou tout site

• Vérifier les règles d’accès de chaque espace de stockage et base de données avant le lancement, puis après chaque modification.
• Supprimer les documents de vérification une fois le contrôle fait : une pièce d’identité qu’on ne garde pas ne peut pas fuiter.
• Tester son application comme le ferait un inconnu : un fichier ou une API est-il accessible sans le bon compte ?
• Faire relire le code, y compris celui généré par des outils d’IA, avant la mise en production.

Aller vite ou bien faire

Lancer vite est tentant. Mais quand une application gère des pièces d’identité, un seul réglage oublié peut exposer des milliers de personnes. La sécurité doit faire partie de la checklist de lancement, pas d’un « plus tard ».

Les fuites les plus simples viennent d’une porte laissée ouverte, pas d’une serrure forcée.

Sources : communiqué officiel de Tea, CyberInsider, Simon Willison, teiss, juillet 2025.

Vous lancez une application ou un site qui gère des données personnelles ? Décrivez votre projet dans notre formulaire d’estimation : nous vous répondons avec une estimation adaptée et les prochaines étapes.