Grindr: Sikkerhedshul lod hvem som helst overtage brugerkonti

I 2020 gjorde en fejl i Grindrs nulstilling af adgangskoder det muligt for enhver, der kendte en brugers e-mailadresse, at overtage kontoen, herunder beskeder, billeder og felter med hivstatus.

Hvad skete der

I oktober 2020 opdagede en uafhængig sikkerhedsforsker, at Grindrs side til nulstilling af adgangskoder sendte det hemmelige nulstillingstoken tilbage til browseren. Med dette token kunne enhver, der kendte en brugers e-mailadresse, oprette et nulstillingslink, vælge en ny adgangskode og logge ind på kontoen. En anden forsker testede fejlen og bekræftede den med en testkonto. TechCrunch rapporterede, at de tilgængelige oplysninger omfattede billeder, beskeder, seksuel orientering, hivstatus og datoen for den seneste test. Grindr rettede fejlen kort efter, at den blev offentliggjort. Virksomheden sagde, at den mente, problemet var løst, før nogen med ondsindede hensigter havde udnyttet det.

Hvad er dokumenteret

• TechCrunch omtalte fejlen, bekræftede, at den var rettet, og offentliggjorde Grindrs udtalelse.
• Forskeren, der bekræftede fejlen, beskrev i sin egen gennemgang, hvordan han overtog en testkonto, og at problemet var løst.

Hvad er ikke fastslået

• Om nogen udnyttede fejlen, før den blev rettet. Grindr siger nej; dette er ikke bekræftet uafhængigt.
• Der er ikke fundet nogen afgørelse fra en tilsynsmyndighed om denne hændelse.

Hvad det betyder for dig

1. Slå eventuel ekstra loginbeskyttelse til, som appen tilbyder, og brug en e-mailadresse, andre ikke kender.
2. Overvej, hvilke følsomme oplysninger, såsom helbredsstatus, du gemmer i en datingprofil.
3. Hvis du modtager en e-mail om nulstilling af adgangskoden, som du ikke har bedt om, skal du straks ændre din adgangskode.