Sarahah, een populaire app waarmee gebruikers elkaar anoniem kunnen beoordelen, stuurde bij installatie de contacten en e-mailadressen van gebruikers door naar een centrale server. Volgens de maker had die functionaliteit eruit gehaald moeten worden.
Onderzoeker Zachary Julian van beveiligingsbedrijf Bishop Fox ontdekte de 'functie' toen hij het verkeer van de Android-versie en later ook de iOS-versie van de app onderzocht met de tool Burp Suite. Hij deelde zijn bevindingen met The Intercept. Volgens de site vraagt de app om toestemming voor het uitlezen van contacten, maar is van te voren niet duidelijk dat deze vervolgens worden doorgestuurd. Ook zou er in de app geen functie zitten waarvoor de gegevens nodig zijn.
In eerste instantie reageerde de maker van de app, Zain al-Abidin Tawfiq, niet op een verzoek om commentaar door The Intercept. Na publicatie van het artikel reageerde hij alsnog via Twitter en claimde dat het was bedoeld om vrienden te vinden, maar dat deze functionaliteit door technische problemen was vertraagd. De server zou de contacten momenteel niet opslaan en de app zou na een nieuwe update niet meer om de gegevens moeten vragen. De functie had door een voormalig partner uit de app verwijderd moeten worden, aldus de maker.
Will Strafach, directeur van beveiligingsbedrijf Sudo Security, legt aan The Intercept uit dat niet te verifiëren is wat een server met de gegevens doet. Ook zou het niet mogelijk zijn om na te gaan of er op een veilige manier met de gegevens wordt omgegaan.
De app Sarahah, wat in het Arabisch 'eerlijkheid' betekent, laat gebruikers elkaar anoniem beoordelen. Uit de Play Store is op te maken dat de Android-versie tussen de 10 en 50 miljoen downloads heeft. Volgens The Verge is de app sinds een aantal maanden zeer populair.
Update, 29-8: Het artikel vermeldde in eerste instantie e-mails in plaats van e-mailadressen, dat is aangepast.