Tea uygulamasındaki veri ihlalinde kimlik doğrulama belgeleri ve kullanıcı görsellerinin açığa çıktığı bildirildi

Kadınların potansiyel flört partnerleri hakkında bilgi paylaşmasına ve güvenlik kontrolleri yapmasına imkân veren Tea Dating Advice uygulaması, 25 Temmuz 2025 tarihinde sistemlerine yetkisiz erişim sağlandığını açıkladı. Şirketin bildirimine göre saldırganlar, Şubat 2024’ten önce kayıt olan kullanıcılara ait verilerin bulunduğu eski bir depolama sisteminden yaklaşık 72.000 görüntüye erişti. Kaynak metindeki Temmuz 2024 tarihi hatalıdır; ihlal Temmuz 2025’te kamuoyuna açıklanmıştır.

Açığa çıkan verilerin yaklaşık 13.000’ini hesap doğrulaması sırasında sunulan özçekimler ile devlet tarafından verilmiş kimlik belgelerini gösteren fotoğraflar oluşturdu. Kalan yaklaşık 59.000 görüntünün ise uygulamadaki gönderilerden, yorumlardan ve doğrudan mesajlardan alındığı bildirildi. Tea, ilk açıklamasında telefon numaraları ile e-posta adreslerinin bu ihlal kapsamında ele geçirilmediğini belirtti.

Çalınan görüntülerin bir bölümünün 4chan üzerinde paylaşılması, kimlik hırsızlığı, taciz ve kullanıcıların gerçek kimliklerinin belirlenmesi risklerini gündeme getirdi. İnternet kullanıcılarının fotoğraf üst verilerinden hareketle Tea üyelerinin konumlarını gösteren bir harita hazırladıklarını ileri sürdükleri bildirildi; ancak haritanın doğruluğu ve kapsamı bağımsız olarak kesinleştirilmedi.

İlk ihlalin ardından doğrudan mesajlara ilişkin ayrı bir güvenlik olayı da tespit edildi. Tea, bazı özel yazışmaların açığa çıktığını kabul ederek mesajlaşma özelliğini geçici olarak devre dışı bıraktı ve etkilenen kullanıcılara kimlik koruma desteği sunacağını bildirdi.

Tea’nin kullanıcı doğrulamasında özçekim ve kimlik görüntülerinden yararlandığı bilinmekle birlikte, kamuya açık kaynaklar bu ihlalin yapay zekâ modelinin aşılması veya hatalı çalışması sonucu gerçekleştiğini göstermemektedir. Temel güvenlik sorunu, hassas doğrulama verilerinin eski ve yeterince korunmayan depolama altyapısında tutulmasıyla ilişkilendirilmiştir. İhlalin ardından şirket aleyhine toplu dava girişimleri başlatıldığı bildirildi; bu iddialar devam eden hukuki süreçler kapsamında değerlendirilmelidir.