Actualizado el
En agosto de 2025 TechCrunch halló en 10 minutos fallos en TeaOnHer que exponían carnés; Apple retiró la app en octubre y el Congreso reclamó datos.
En agosto de 2025, TechCrunch contó cómo había encontrado en unos diez minutos varios fallos en TeaOnHer, una aplicación en la que hombres comparten fotos e información de mujeres con las que dicen haber salido. Los fallos dejaban al descubierto escaneos de carnés de conducir y otros documentos oficiales, selfies y correos de los usuarios. Hoy, con perspectiva, sabemos también cómo acabó el asunto.
El caso se entiende mejor por su mecánica que por el escándalo. El medio localizó un subdominio del servidor de la app y, al abrirlo, se encontró la página de inicio de la API con las credenciales de administración en texto plano. Esa misma página enlazaba la documentación autogenerada con Swagger, que lista todas las órdenes disponibles.
Lo que se devolvía incluía enlaces a los documentos de identidad, alojados en un servidor de Amazon S3 configurado como accesible públicamente. Insistimos en este orden de gravedad: el cubo abierto agrava el daño, pero la raíz del problema era una API que entregaba datos de usuarios a quien los pidiera. Malwarebytes recordó además que no había indicios de acceso no autorizado por parte de terceros, aunque eso es difícil de garantizar cuando la puerta estaba abierta.
La respuesta del desarrollador, Xavier Lampkin, fue errática: primero negó que hubiera una brecha, después dijo que se pondrían manos a la obra y luego dejó de contestar. TechCrunch indica que la página de la API desapareció, se añadió autenticación y se restringieron los enlaces a los documentos. Que los fallos parezcan resueltos no equivale a que alguien lo haya verificado desde fuera.
Qué ocurrió después
El 22 de octubre de 2025, Apple confirmó que había retirado Tea y TeaOnHer de la App Store por incumplir sus requisitos de moderación de contenido y privacidad, además de acumular quejas y reseñas negativas, algunas por información personal de menores. Citó las pautas 1.2, 5.1.2 y 5.6, y las apps siguieron disponibles en Google Play. Dos días más tarde, según The Record, los republicanos del Comité de Supervisión de la Cámara de Representantes, James Comer y Nancy Mace, reclamaron documentación al fundador sobre verificación de consentimiento y edad, prevención de difamación y solicitudes de retirada de contenido.
Nuestra lectura es que el episodio ilustra un patrón incómodo: aplicaciones que piden documentos de identidad como filtro de confianza, construidas deprisa y sin la disciplina mínima de seguridad. Y es un aviso para quien tenga que verificar la edad o la identidad de sus usuarios: cuanto menos se almacene, menos se puede filtrar.
Artículos relacionados de LaRebelión
GLM-5.3, el modelo abierto chino que se acerca a Mythos en exploits
Cómo se asciende de verdad a ingeniero sénior, según un SDE-3 de Amazon
La FTC abre una investigación a OpenAI y Anthropic: qué sabemos y qué noFuente original: TechCrunch
Elaborado con apoyo de IA y revisado por la redacción
Comentarios
Publicar un comentario