Grindr: Un fallo de seguridad permitía a cualquiera tomar el control de cuentas de usuarios

En 2020, un fallo en el restablecimiento de contraseñas de Grindr permitía a cualquiera que conociera la dirección de correo de un usuario tomar el control de su cuenta, incluidos los mensajes, las fotos y los campos sobre el estado serológico respecto al VIH.

Qué pasó

En octubre de 2020, un investigador independiente de seguridad descubrió que la página de restablecimiento de contraseñas de Grindr enviaba de vuelta al navegador el token secreto de restablecimiento. Con ese token, cualquiera que conociera la dirección de correo de un usuario podía crear un enlace de restablecimiento, establecer una nueva contraseña e iniciar sesión en la cuenta. Un segundo investigador probó el fallo y lo confirmó con una cuenta de prueba. TechCrunch informó de que los datos accesibles incluían fotos, mensajes, orientación sexual, estado serológico respecto al VIH y fecha de la última prueba. Grindr corrigió el fallo poco después de que se hiciera público. La empresa afirmó que creía que el problema se había resuelto antes de que alguien lo utilizara con fines maliciosos.

Qué está documentado

• TechCrunch informó del fallo, confirmó que se había corregido y publicó la declaración de Grindr.
• El investigador que verificó el fallo describió en su propio informe cómo tomó el control de una cuenta de prueba e indicó que el problema se había corregido.

Qué no se ha establecido

• Si alguien utilizó el fallo antes de que se corrigiera. Grindr dice que no; esto no se ha confirmado de forma independiente.
• No se ha encontrado ninguna resolución de un organismo regulador sobre este incidente.

Qué significa para ti

1. Activa cualquier protección adicional de inicio de sesión que ofrezca la aplicación y utiliza una dirección de correo que otras personas no conozcan.
2. Piensa qué información sensible, como tu estado de salud, guardas en un perfil de citas.
3. Si recibes un correo de restablecimiento de contraseña que no has solicitado, cambia tu contraseña de inmediato.