Bumble, Badoo, Hinge, Hily: se podía localizar a los usuarios con una precisión de 2 metros

Investigadores de KU Leuven descubrieron que los filtros de distancia de varias apps de citas podían revelar la ubicación casi exacta de un usuario. Las empresas dicen que los fallos se corrigieron tras la comunicación en 2023.

Qué pasó

Investigadores de KU Leuven analizaron 15 apps de citas basadas en la ubicación y publicaron sus resultados en la conferencia USENIX Security en agosto de 2024. Descubrieron que Badoo, Bumble, Hinge y Hily usaban distancias exactas en sus filtros de distancia. Un atacante podía mover una cuenta de prueba paso a paso hasta que el objetivo dejara de aparecer en el filtro en tres direcciones, y luego calcular la posición del objetivo. Los investigadores lo llaman "oracle trilateration". Según TechCrunch, esto podía situar a un usuario con una precisión de unos 2 metros, incluso cuando la distancia estaba oculta en la app. Happn filtraba distancias más precisas de las que mostraba, y los usuarios de Grindr podían ser localizados con una precisión de unos 111 metros. Tinder y LOVOO no eran vulnerables. Tras su análisis en enero de 2023, los investigadores comunicaron sus hallazgos a los 15 proveedores, y TechCrunch informó de que todas las apps afectadas con las que contactaron habían cambiado el funcionamiento de los filtros de distancia.

Qué está documentado

• KU Leuven / artículo de USENIX Security: Badoo, Bumble, Hinge y Hily eran susceptibles a la oracle trilateration; Grindr (hasta unos 111 m) y Happn también permitían inferir la ubicación.
• TechCrunch: Bumble dice que fue informada a principios de 2023 y resolvió los problemas, también en Badoo; Hinge dice que actuó a principios de 2023; Hily dice que recibió el informe en mayo de 2023; Happn dice que una protección adicional hizo ineficaz la técnica; Grindr dice que se necesita cierta información de ubicación para conectar a usuarios cercanos.

Qué no se ha establecido

• Si algún usuario fue realmente localizado por un atacante con este método.
• Happn dice que la técnica era ineficaz contra su app.

Qué significa para ti

1. Desactiva la visualización de la distancia si la app lo permite, y evita usar la app en casa o en el trabajo si tu seguridad está en riesgo.
2. No reveles dónde vives en tu perfil ni en los primeros chats.
3. Si te están acosando, considera pausar las apps basadas en la ubicación y contacta con la policía.