Tinder: imágenes sin cifrar permitían ver la actividad en una red wifi compartida

En 2018, unos investigadores demostraron que las aplicaciones móviles de Tinder enviaban imágenes sin cifrar. Alguien conectado a la misma red wifi podía ver qué perfiles consultaba el usuario y qué deslizamientos hacía. Tinder corrigió el fallo ese mismo año.

Qué pasó

La empresa de seguridad Checkmarx demostró que las aplicaciones de Tinder para iOS y Android enviaban fotos de perfil sin cifrado HTTPS. Una persona conectada a la misma red wifi podía ver las imágenes que aparecían al usuario e incluso sustituirlas. El resto del tráfico estaba cifrado, pero los paquetes de datos tenían tamaños distintos. Por ello, aun así era posible deducir los deslizamientos y las coincidencias. Los investigadores crearon una herramienta de demostración que reproducía la sesión completa. Más tarde, ese mismo año, Match Group confirmó por escrito que las imágenes ya estaban cifradas y que los datos de los deslizamientos se habían ajustado para que todas las acciones tuvieran el mismo tamaño.

Qué está documentado

• WIRED describe una demostración funcional de que las imágenes podían interceptarse y sustituirse, y de que era posible deducir los deslizamientos.
• PCMag reproduce la confirmación por escrito de Match Group de que los fallos se corrigieron en febrero y junio de 2018.

Qué no se ha establecido

• No hay constancia de que algún usuario sufriera realmente ataques maliciosos.
• Se trata de una vulnerabilidad técnica, no de una resolución judicial ni de una decisión de una autoridad supervisora.
• El fallo está corregido y no debe presentarse como si siguiera activo actualmente.

Qué significa para ti

1. Se trata de un fallo histórico, no de una prueba de que Tinder sea inseguro hoy.
2. El caso muestra que no basta con proteger las imágenes. Los datos sobre lo que haces en la aplicación también pueden revelar información sobre ti.
3. Ten especial cuidado al usar aplicaciones sensibles en redes abiertas, como el wifi de cafeterías y hoteles.