Bumble : une faille du système donnait accès à des informations de profil

En 2020, une chercheuse en sécurité a découvert des faiblesses dans les systèmes de Bumble qui permettaient d’accéder à des données personnelles d’utilisateurs, notamment leurs opinions politiques et leur distance. Bumble affirme que la faille a été corrigée et qu’aucune donnée utilisateur n’a été compromise.

Ce qui s'est passé

Une chercheuse d’Independent Security Evaluators a constaté que l’API de Bumble ne vérifiait pas si la personne qui demandait les données était autorisée à y accéder. Elle pouvait donc récupérer des informations telles que les opinions politiques, le niveau d’études, la taille et le poids, la distance en miles et le type de partenaire recherché. Des données liées aux comptes Facebook des utilisateurs étaient également accessibles. Selon la chercheuse, Bumble a mis beaucoup de temps à s’attaquer au problème après en avoir été informé. Par la suite, l’extraction de l’intégralité de la base de données des utilisateurs a été bloquée. Bumble a déclaré à TechRadar que le problème sous-jacent avait été résolu et qu’aucune donnée utilisateur n’avait été compromise.

Ce qui est documenté

• Threatpost a interrogé la chercheuse et décrit les informations auxquelles il était possible d’accéder.
• TechRadar a obtenu une déclaration distincte de Bumble confirmant la faille de sécurité et sa correction.

Ce qui n'a pas été établi

• Rien ne prouve que des criminels aient effectivement récupéré des données d’utilisateurs.
• La chercheuse a décrit une correction partielle à un stade précoce. Bumble a déclaré plus tard que le problème était résolu. Il s’agit de phases différentes, ce qui ne signifie pas que la faille est toujours ouverte.
• Il s’agit d’une vulnérabilité technique, et non d’une décision de justice ou d’une autorité de contrôle.

Ce que cela signifie pour vous

1. Réfléchissez aux informations que vous publiez sur un profil de rencontre. Les photos ne sont pas les seules données susceptibles de fuiter.
2. Faites la distinction entre la possibilité pour une chercheuse d’extraire des données et le vol effectif de ces données.
3. Soyez prudent lorsque vous reliez l’application de rencontre à d’autres comptes, comme Facebook.