Adresboek-app Covve heeft gegevens van miljoenen contacten die via de app waren opgeslagen gelekt. Eerder deze week werd bekend dat onderzoekers in februari een onbeveiligde Elasticsearch-server op internet hadden gevonden met 90 gigabyte aan persoonlijke informatie. Het ging om tientallen miljoenen records, waaronder e-mailadressen, functieomschrijvingen, namen, telefoonnummers, adresgegevens en socialmediaprofielen.

Het was echter onbekend waar de gegevens vandaan kwamen en wie de eigenaar was. Beveiligingsonderzoeker Troy Hunt van datalekzoekmachine Have I Been Pwned besloot 23 miljoen unieke e-mailadressen die in de database werden aangetroffen aan zijn zoekmachine toe te voegen, zodat gebruikers konden gewaarschuwd dat hun gegevens waren gelekt.

Nu blijkt dat de gegevens bij Covve vandaan kwamen. Covve omschrijft zichzelf als een "intelligent adresboek" voor het beheren van contacten. Het is mede met geld van de EU gefinancierd. In een verklaring laat Covve weten dat het is getroffen door een datalek waarbij de gegevens van een onbekend aantal gebruikers is gecompromitteerd.

Op 15 mei ontdekte het bedrijf na een tip van Hunt dat een derde partij ongeautoriseerde toegang tot een uitgefaseerd legacy systeem had gekregen. Daarbij heeft deze derde partij contactgegevens benaderd, zoals namen en contactdetails. Volgens Covve is de data niet terug te herleiden naar specifieke gebruikers en zijn er geen wachtwoorden gecompromitteerd.

Inmiddels zijn alle getroffen gebruikers en de Cypriotische privacytoezichthouder geïnformeerd. Verder is er een onderzoek ingesteld naar hoe het datalek zich heeft kunnen voordoen en zullen er aanvullende maatregelen worden getroffen om herhaling te voorkomen. De Androidversie van Covve heeft meer dan 100.000 installaties.