Feeld : des failles de sécurité pouvaient exposer des messages et des photos privées

Une société de sécurité a découvert que des failles dans Feeld pouvaient permettre à des tiers de lire des conversations et d'ouvrir des photos et vidéos privées. Feeld affirme avoir corrigé les problèmes en 2024 et n'avoir constaté aucun abus.

Ce qui s'est passé

En mars 2024, la société de sécurité londonienne Fortbridge a signalé plusieurs vulnérabilités à Feeld, une application de rencontres pour relations alternatives. La plupart concernaient des contrôles d'accès défaillants. Selon Fortbridge, un attaquant disposant du « stream user ID » d'un autre utilisateur pouvait lire ses messages et ouvrir des photos et vidéos partagées sans se connecter, y compris des médias à durée limitée et à « play-once ». L'attaquant pouvait aussi modifier, supprimer ou récupérer des messages, modifier le profil d'une autre personne, y compris sa sexualité, et voir les matchs d'autres personnes. Feeld a déclaré à The Guardian avoir corrigé les problèmes au plus tard le 28 mai 2024. Elle a dit n'avoir vu aucune preuve d'accès aux données des utilisateurs et n'avoir donc pas signalé l'affaire à l'autorité de régulation britannique, l'ICO. Fortbridge a publié ses conclusions en septembre 2024.

Ce qui est documenté

• Fortbridge : huit vulnérabilités ; sa chronologie indique une divulgation à Feeld le 8 mars 2024 et une publication le 10 septembre 2024.
• The Guardian : Feeld dit avoir examiné les problèmes à partir du 3 mars et les avoir corrigés au plus tard le 28 mai 2024, sans avoir vu de preuve de violation ; l'ICO a indiqué n'avoir reçu aucun signalement de violation.
• The Guardian : Fortbridge a déclaré que les failles pouvaient être exploitées par quelqu'un ayant des « connaissances techniques de base ».

Ce qui n'a pas été établi

• Si quelqu'un a réellement exploité les failles avant qu'elles ne soient corrigées.
• Depuis combien de temps les failles existaient avant mars 2024.
• Aucune décision d'une autorité de régulation n'est connue d'après ces sources.
• Les deux sources donnent des dates différentes en mars (le 3 et le 8) pour le moment où Feeld a été informée.

Ce que cela signifie pour vous

1. Ne partage pas d'images intimes dont tu ne supporterais pas la diffusion, même avec des fonctions de « vue unique ».
2. Garde l'application à jour pour recevoir les correctifs de sécurité.
3. Évite de partager dans les conversations des détails permettant de t'identifier, comme ton lieu de travail ou ton adresse.