Bumble, Badoo, Hinge, Hily : des utilisateurs pouvaient être localisés à 2 mètres près

Des chercheurs de la KU Leuven ont découvert que les filtres de distance de plusieurs applications de rencontres pouvaient révéler la position quasi exacte d'un utilisateur. Les entreprises affirment avoir corrigé les failles après leur signalement en 2023.

Ce qui s'est passé

Des chercheurs de la KU Leuven ont analysé 15 applications de rencontres basées sur la localisation et publié leurs résultats à la conférence USENIX Security en août 2024. Ils ont constaté que Badoo, Bumble, Hinge et Hily utilisaient des distances exactes dans leurs filtres de distance. Un attaquant pouvait déplacer pas à pas un compte de test jusqu'à ce que la cible sorte du filtre dans trois directions, puis calculer la position de la cible. Les chercheurs appellent cela la « oracle trilateration ». Selon TechCrunch, cela permettait de localiser un utilisateur à environ 2 mètres près, même lorsque la distance était masquée dans l'application. Happn divulguait des distances plus précises que celles qu'elle affichait, et les utilisateurs de Grindr pouvaient être localisés à environ 111 mètres près. Tinder et LOVOO n'étaient pas vulnérables. Après leur analyse de janvier 2023, les chercheurs ont communiqué leurs conclusions aux 15 éditeurs, et TechCrunch a rapporté que toutes les applications concernées contactées avaient modifié le fonctionnement des filtres de distance.

Ce qui est documenté

• Article de la KU Leuven / USENIX Security : Badoo, Bumble, Hinge et Hily étaient vulnérables à la oracle trilateration ; Grindr (à environ 111 m près) et Happn permettaient aussi de déduire la localisation.
• TechCrunch : Bumble dit avoir été informée début 2023 et avoir résolu les problèmes, y compris pour Badoo ; Hinge dit avoir agi début 2023 ; Hily dit avoir reçu le signalement en mai 2023 ; Happn dit qu'une protection supplémentaire a rendu la technique inefficace ; Grindr dit que certaines informations de localisation sont nécessaires pour mettre en relation des utilisateurs proches.

Ce qui n'a pas été établi

• Si un utilisateur a réellement été localisé par un attaquant avec cette méthode.
• Happn dit que la technique était inefficace contre son application.

Ce que cela signifie pour vous

1. Désactive l'affichage de la distance si l'application le permet, et évite d'utiliser l'application chez toi ou au travail si ta sécurité est menacée.
2. Ne révèle pas où tu habites dans ton profil ou dans les premières conversations.
3. Si tu es harcelé(e), envisage de mettre en pause les applications basées sur la localisation et contacte la police.