Tea, l’appli de « dating sécurisé » pour les femmes qui a viré à la catastrophe

L’histoire était séduisante. Tea, une application américaine pour smartphone, promettait de sécuriser les rencontres amoureuses à l’ère numérique. Fini les faux profils, les gens qui ghostent ou les mecs qui se font passer pour féministe juste pour coucher : le service devait permettre aux femmes d’évaluer anonymement leur expérience avec des hommes, et aux autres femmes de consulter les avis.

Le concept a très vite marché : cet été, en l’espace de quelques jours, elle s’est hissée au sommet de l’App Store aux Etats-Unis, portée par un bouche-à-oreille viral sur TikTok et un marketing fondé sur la « sororité numérique ». Mais entre les critiques sur ce concept d’ubérisation du dating et de sérieux problèmes de sécurité, les utilisatrices ont vite déchanté.

Retour en arrière. Tout commence en novembre 2022 aux Etats-Unis. Sean Cook constate les mauvaises expériences de sa mère dans le monde du dating, victime de « catfishing » [des gens qui mentent sur leurs photos ou leur identité en ligne] ou se retrouvant face à d’anciens délinquants. Il s’inspire des sites d’avis en ligne comme Yelp ou TripAdvisor pour lancer son concept. Sur Tea, les utilisatrices peuvent publier anonymement des avis sur des hommes qu’elles ont rencontrés, en indiquant si des « red flags » ou des « green flags » ont été détectés (comportement, criminalité, statut marital…). L’application propose également des fonctions payantes comme des recherches inversées d’images, de numéros de téléphone, des vérifications de casier ou d’enregistrements de délinquants sexuels.

Pris en grippe par les mascus

En quelques jours cet été, l’app est devenue virale sur TikTok : elle a grimpé au sommet du classement Lifestyle de l’App Store aux États-Unis, avec plus d’un million de téléchargements en une semaine et environ 4 millions d’utilisatrices revendiquées. Un succès rendu possible par un marketing viral efficace : depuis quelques mois, de plus en plus de vidéos TikTok relayant des expériences de rencontre catastrophiques et incitaient les femmes à rejoindre massivement l’application ont vu le jour.

Mais les critiques ont commencé à arriver : quelques personnes de bonne foi inquiètes des risques pour la vie privée. Mais surtout, les communautés masculinistes d’Internet y ont vu une attaque contre les hommes. Sur Reddit, par exemple, des internautes la décrivaient comme « toxique », ou un « champ de mines en matière de vie privé et de discrimination » et invitaient à signaler Tea en masse pour la faire retirer des boutiques d’applis.

Deux failles de sécurité et 13.000 photos d’identité exposées

Le coup de grâce a été porté samedi. Un pirate s’est rendu compte que l’application était très mal protégée et stockait notamment les pièces d’identité des utilisatrices, utilisées pour valider leurs comptes, sans encryption. Il a partagé ces informations sur 4chan, forum tristement connu pour sa communauté radicale, souvent misogyne et prompte au cyberharcèlement. Selon Tea, environ 72.000 images d’utilisatrices ont ainsi été exposées, dont 13.000 selfies ou photos d’identification envoyées lors de l’inscription, ainsi que 59.000 images issues de publications ou messages. L’entreprise assure qu’il s’agit de fichiers antérieurs à février 2024, avant que l’entreprise n’adopte un système mieux sécurisé.

Mardi, une seconde faille de sécurité a été exploitée. Celle-ci a conduit à la fuite de plus d’un million de messages directs échangés via l’application, certains évoquant des sujets sensibles comme l’avortement, les infidélités ou le partage de coordonnées personnelles. En réponse, Tea a désactivé temporairement le système de messagerie privée.

Ironique pour une application qui se voulait défendre la sécurité numérique des femmes de finir par mettre en danger leurs données personnelles et donner du grain à moudre aux masculinistes revanchards. Depuis ces brèches de données deux plaintes ont été déposées en Californie contre Tea. Elles accusent l’application de négligence, violation de contrat implicite, et exigent une meilleure sécurisation des données et suppression des données sensibles existantes.