Controversée, l’application réservée aux femmes Tea victime d’un double piratage

Le projet a été créé avec une promesse apparemment simple : permettre aux femmes hétérosexuelles de faire des rencontres « en toute sécurité », selon la communication de l’application, en s’échangeant des informations sur les hommes qu’elles ont rencontrés ou s’apprêtent à rencontrer.

Si l’application a bientôt deux ans, elle s’est félicitée fin juillet d’avoir dépassé les quatre millions d’utilisatrices (aux États-Unis : Tea n’est pas disponible en France). Et s’est attirée au passage la colère de nombreux hommes en ligne, peu ravis de se voir accolés des « red flags » (drapeaux rouges, signe de danger) ou des « green flags » (drapeaux verts) sur une application à laquelle ils n’avaient pas accès.

La controverse aurait pu s’arrêter là, sur fond de débat post-#MeToo sur les attentes de femmes et des hommes lorsqu’elles et ils recourent à des applications de rencontre et les risques que chacun encourt. Sauf que Tea a été victime d’un double piratage, dans lesquels 72 000 images, dont une large proportion servait à l’identification des utilisatrices, et des messages privés, ont fuité. Une faille de sécurité susceptible de mettre certaines internautes en danger.

Échanger des informations sur de potentiels partenaires

Créée en 2023 par l’entrepreneur états-unien et ancien employé de Salesforce Sean Cook, le projet affiché de Tea est de fournir aux femmes un outil qui leur permette « de faire des rencontres en toute sécurité dans un monde qui oublie généralement de se préoccuper de leur protection ». Sean Cook affirme en avoir eu l’idée après avoir suivi les déboires de sa mère, victime d’arnaques et qui aurait rencontré des hommes aux casiers judiciaires remplis.

Pour s’inscrire à Tea, l’application – réservée aux femmes – demande à ses utilisatrices de lui fournir un selfie. Une fois leurs accès créés, ces dernières peuvent s’échanger des informations sur les hommes qu’elles ont rencontrés, ou qu’elles s’apprêtent à rejoindre. En pratique, chacune peut poster les photos d’un homme pour partager ses informations sur lui – a-t-il un passé judiciaire ? Est-il marié ? Fréquente-t-il plusieurs femmes à la fois ? – ou en demander aux autres internautes.

Une fois la photo en ligne, chacune peut ajouter ses commentaires, un drapeau rouge ou un drapeau vert. Autre fonctionnalité : Tea permet aux utilisatrices de repérer les « catfishers », ou arnaqueurs, qui s’approprient les photos d’autres hommes et se font passer pour eux.

Double piratage

Fin juillet, aux États-Unis, le nombre d’usagères de Tea s’est envolé, entraîné par une polémique sur son fonctionnement et l'alimentant. Sur Reddit, des internautes s’alertent sur le fait que Tea puisse être utilisé pour diffuser de fausses informations, et appellent à la suppression de l’application. En parallèle, l’application se hisse au sommet des applications gratuites les plus téléchargées sur l’App Store d’Apple aux États-Unis.

Surtout, Tea est visée par un double piratage. 72 000 images stockées dans l’application en ont été exfiltrées avant d’être postées sur 4chan, rapporte 404 media. Dans le lot, 13 000 selfies et images de cartes d’identité d’utilisatrices, toutes inscrites avant février 2024, d’après Tea. L'entreprise a précisé que ces images ne pouvaient « en aucun cas être liées à des publications dans Tea », théoriquement publiées anonymement.

Problème : 404 media rapporte une deuxième faille, grâce à laquelle les hackers auraient pu accéder aux conversations privées. En jeu : des discussions relatives à des avortements – interdits dans plusieurs États américains –, le fait de tromper son partenaire, ou encore des échanges de numéros de téléphone en clair.

D’après les informations collectées par le chercheur indépendant Kasra Rahjerdi, plus de 1,1 million de messages publiés jusqu’à la semaine passée ont ainsi été accessibles. D’après 404 media, ces éléments sont suffisamment précis pour rendre leurs autrices – dont certaines découvrent qu’elles fréquentent le même homme, ou d’autres se signalent la présence d’un époux ou d’une épouse sur la plateforme – très simplement identifiables.