Bumble, Badoo, Hinge, Hily: Brugere kunne lokaliseres inden for 2 meter

Forskere fra KU Leuven fandt, at afstandsfiltre i flere datingapps kunne afsløre en brugers næsten nøjagtige position. Virksomhederne siger, at fejlene blev rettet efter underretning i 2023.

Hvad skete der

Forskere ved KU Leuven analyserede 15 lokationsbaserede datingapps og offentliggjorde deres resultater på konferencen USENIX Security i august 2024. De fandt, at Badoo, Bumble, Hinge og Hily brugte nøjagtige afstande i deres afstandsfiltre. En angriber kunne flytte en testkonto trin for trin, indtil målet faldt ud af filteret i tre retninger, og derefter beregne målets position. Forskerne kalder dette "oracle trilateration". Ifølge TechCrunch kunne en bruger på den måde lokaliseres inden for omkring 2 meter, selv hvor afstanden var skjult i appen. Happn lækkede mere præcise afstande, end den viste, og Grindr-brugere kunne lokaliseres inden for omkring 111 meter. Tinder og LOVOO var ikke sårbare. Efter deres analyse i januar 2023 underrettede forskerne alle 15 leverandører om deres resultater, og TechCrunch rapporterede, at alle berørte apps, de kontaktede, havde ændret den måde, afstandsfiltre fungerer på.

Hvad er dokumenteret

• KU Leuven / USENIX Security-artikel: Badoo, Bumble, Hinge og Hily var modtagelige for oracle trilateration; Grindr (til omkring 111 m) og Happn tillod også udledning af position.
• TechCrunch: Bumble siger, at det blev gjort opmærksom på det i begyndelsen af 2023 og løste problemerne, også i Badoo; Hinge siger, at det greb ind i begyndelsen af 2023; Hily siger, at det modtog rapporten i maj 2023; Happn siger, at en ekstra beskyttelse gjorde teknikken virkningsløs; Grindr siger, at visse lokationsoplysninger er nødvendige for at forbinde brugere i nærheden.

Hvad er ikke fastslået

• Om nogen bruger faktisk er blevet lokaliseret af en angriber med denne metode.
• Happn siger, at teknikken var virkningsløs mod dens app.

Hvad det betyder for dig

1. Slå visning af afstand fra, hvis appen tillader det, og undgå at bruge appen hjemme eller på arbejde, hvis din sikkerhed er i fare.
2. Afslør ikke, hvor du bor, i din profil eller i de første chats.
3. Hvis du bliver forfulgt, så overvej at sætte lokationsbaserede apps på pause og kontakt politiet.