Grindr : une faille de sécurité permettait à n’importe qui de prendre le contrôle de comptes

En 2020, une faille dans la réinitialisation du mot de passe de Grindr permettait à toute personne connaissant l’adresse e-mail d’un utilisateur de prendre le contrôle de son compte, y compris ses messages, ses photos et les champs relatifs au statut VIH.

Ce qui s'est passé

En octobre 2020, un chercheur indépendant en sécurité a découvert que la page de réinitialisation du mot de passe de Grindr renvoyait au navigateur le jeton secret de réinitialisation. Avec ce jeton, toute personne connaissant l’adresse e-mail d’un utilisateur pouvait créer un lien de réinitialisation, définir un nouveau mot de passe et se connecter au compte. Un second chercheur a testé la faille et l’a confirmée avec un compte de test. TechCrunch a indiqué que les données accessibles comprenaient les photos, les messages, l’orientation sexuelle, le statut VIH et la date du dernier test. Grindr a corrigé la faille peu après sa divulgation. L’entreprise a déclaré qu’elle estimait que le problème avait été résolu avant qu’une personne malveillante ne l’exploite.

Ce qui est documenté

• TechCrunch a signalé la faille, confirmé sa correction et publié la déclaration de Grindr.
• Le chercheur ayant confirmé la faille a décrit dans son propre compte rendu comment il avait pris le contrôle d’un compte de test et indiqué que le problème avait été corrigé.

Ce qui n'a pas été établi

• Si quelqu’un a exploité la faille avant sa correction. Grindr affirme que non ; cela n’a pas été confirmé de manière indépendante.
• Aucune décision d’une autorité de contrôle concernant cet incident n’a été trouvée.

Ce que cela signifie pour vous

1. Activez toute protection supplémentaire de connexion proposée par l’application et utilisez une adresse e-mail que les autres ne connaissent pas.
2. Réfléchissez aux informations sensibles, comme votre état de santé, que vous enregistrez dans un profil de rencontre.
3. Si vous recevez un e-mail de réinitialisation du mot de passe que vous n’avez pas demandé, changez immédiatement votre mot de passe.