Bumble: een systeemfout gaf toegang tot profielgegevens

Een beveiligingsonderzoeker ontdekte in 2020 zwakke plekken in de systemen van Bumble die toegang gaven tot persoonlijke gegevens van gebruikers, waaronder hun politieke opvattingen en afstand. Bumble zegt dat het probleem is verholpen en dat er geen gebruikersgegevens zijn gecompromitteerd.

Wat er gebeurde

Een onderzoeker van Independent Security Evaluators ontdekte dat de API van Bumble niet controleerde of degene die gegevens opvroeg daartoe bevoegd was. Daardoor kon ze gegevens ophalen zoals politieke opvattingen, opleiding, lengte en gewicht, afstand in mijlen en het soort partner waarnaar een gebruiker op zoek was. Ook gegevens die aan Facebook-accounts van gebruikers waren gekoppeld, waren toegankelijk. Volgens de onderzoeker verstreek er veel tijd tussen de melding aan Bumble en het aanpakken van het probleem. Later werd het ophalen van de volledige gebruikersdatabase geblokkeerd. Bumble vertelde TechRadar dat het onderliggende probleem was opgelost en dat er geen gebruikersgegevens waren gecompromitteerd.

Wat is gedocumenteerd

• Threatpost interviewde de onderzoeker en beschrijft welke gegevens toegankelijk waren.
• TechRadar kreeg een afzonderlijke verklaring van Bumble die de beveiligingsfout bevestigt en zegt dat deze is verholpen.

Wat is niet vastgesteld

• Er is niet aangetoond dat criminelen daadwerkelijk gebruikersgegevens hebben opgehaald.
• De onderzoeker beschreef in een vroeg stadium een gedeeltelijke oplossing. Bumble zei later dat het probleem was opgelost. Dat zijn verschillende fases en betekent niet dat de fout nog openstaat.
• Dit is een technische kwetsbaarheid, geen uitspraak van een rechtbank of toezichthouder.

Wat dit voor jou betekent

1. Denk na over welke informatie je op een datingprofiel zet. Niet alleen foto's kunnen uitlekken.
2. Maak onderscheid tussen de mogelijkheid voor een onderzoeker om gegevens op te halen en daadwerkelijk gestolen gegevens.
3. Wees voorzichtig met het koppelen van de datingapp aan andere accounts, zoals Facebook.