Grindr: Sicherheitslücke ermöglichte jedem die Übernahme von Nutzerkonten

Im Jahr 2020 konnte durch eine Schwachstelle beim Zurücksetzen des Grindr-Passworts jeder, der die E-Mail-Adresse eines Nutzers kannte, dessen Konto übernehmen, einschließlich Nachrichten, Fotos und Feldern zum HIV-Status.

Was geschah

Im Oktober 2020 entdeckte ein unabhängiger Sicherheitsforscher, dass die Grindr-Seite zum Zurücksetzen des Passworts das geheime Rücksetztoken an den Browser zurücksendete. Mit diesem Token konnte jeder, der die E-Mail-Adresse eines Nutzers kannte, einen Rücksetzlink erstellen, ein neues Passwort festlegen und sich beim Konto anmelden. Ein zweiter Forscher testete die Schwachstelle und bestätigte sie mit einem Testkonto. TechCrunch berichtete, dass die zugänglichen Daten Fotos, Nachrichten, sexuelle Orientierung, HIV-Status und das Datum des letzten Tests umfassten. Grindr behob die Schwachstelle kurz nach ihrem Bekanntwerden. Das Unternehmen erklärte, es gehe davon aus, dass das Problem behoben worden sei, bevor jemand es in böswilliger Absicht ausgenutzt habe.

Was ist dokumentiert

• TechCrunch berichtete über die Schwachstelle, bestätigte ihre Behebung und veröffentlichte die Stellungnahme von Grindr.
• Der Forscher, der die Schwachstelle bestätigte, beschrieb in seinem eigenen Bericht, wie er ein Testkonto übernahm und dass das Problem behoben wurde.

Was ist nicht festgestellt

• Ob jemand die Schwachstelle vor ihrer Behebung ausgenutzt hat. Grindr verneint dies; eine unabhängige Bestätigung liegt nicht vor.
• Es wurde keine Entscheidung einer Aufsichtsbehörde zu diesem Vorfall gefunden.

Was das für Sie bedeutet

1. Aktiviere jeden zusätzlichen Anmeldeschutz, den die App anbietet, und verwende eine E-Mail-Adresse, die andere nicht kennen.
2. Überlege, welche sensiblen Informationen, etwa zum Gesundheitsstatus, du in einem Datingprofil speicherst.
3. Wenn du eine E-Mail zum Zurücksetzen des Passworts erhältst, die du nicht angefordert hast, ändere sofort dein Passwort.