Bumble: un fallo del sistema permitió acceder a datos de perfiles

En 2020, una investigadora de seguridad detectó vulnerabilidades en los sistemas de Bumble que permitían acceder a datos personales de usuarios, entre ellos su orientación política y la distancia. Bumble afirma que corrigió el fallo y que no se vio comprometido ningún dato de usuarios.

Qué pasó

Una investigadora de Independent Security Evaluators descubrió que la API de Bumble no comprobaba si quien solicitaba los datos tenía permiso para hacerlo. Por ello, podía obtener información como la orientación política, la educación, la estatura y el peso, la distancia en millas y el tipo de pareja que buscaba el usuario. También estaban disponibles datos vinculados a las cuentas de Facebook de los usuarios. Según la investigadora, pasó mucho tiempo desde que avisó a Bumble hasta que se abordó el problema. Más tarde se impidió extraer la base de usuarios completa. Bumble dijo a TechRadar que el problema subyacente se había resuelto y que no se había comprometido ningún dato de usuarios.

Qué está documentado

• Threatpost entrevistó a la investigadora y describe qué información estaba disponible.
• TechRadar obtuvo una declaración directamente de Bumble en la que la empresa confirma el fallo de seguridad y que fue corregido.

Qué no se ha establecido

• No hay constancia de que delincuentes llegaran a extraer datos de usuarios.
• La investigadora describió una corrección parcial en una fase inicial. Más tarde, Bumble dijo que el problema se había resuelto. Se trata de fases diferentes, lo que no significa que el fallo siga abierto.
• Se trata de una vulnerabilidad técnica, no de una resolución judicial ni de una decisión de una autoridad supervisora.

Qué significa para ti

1. Piensa bien qué incluyes en un perfil de citas. No solo las fotos pueden quedar expuestas.
2. Distingue entre que una investigadora pudiera extraer datos y que esos datos hayan sido efectivamente robados.
3. Ten cuidado al vincular la aplicación de citas con otras cuentas, como Facebook.