Bumble, Badoo, Hinge, Hily: gebruikers konden tot op 2 meter nauwkeurig worden gelokaliseerd

Onderzoekers van KU Leuven ontdekten dat afstandsfilters in verschillende datingapps de bijna exacte locatie van een gebruiker konden onthullen. De bedrijven zeggen dat de fouten na melding in 2023 zijn opgelost.

Wat er gebeurde

Onderzoekers van KU Leuven analyseerden 15 locatiegebaseerde datingapps en publiceerden hun resultaten in augustus 2024 op de conferentie USENIX Security. Zij ontdekten dat Badoo, Bumble, Hinge en Hily exacte afstanden gebruikten in hun afstandsfilters. Een aanvaller kon een testaccount stap voor stap verplaatsen totdat het doelwit in drie richtingen uit het filter viel, en daarna de positie van het doelwit berekenen. De onderzoekers noemen dit "oracle trilateration". Volgens TechCrunch kon een gebruiker zo tot op ongeveer 2 meter nauwkeurig worden gelokaliseerd, zelfs waar de afstand in de app verborgen was. Happn lekte nauwkeurigere afstanden dan het toonde, en Grindr-gebruikers konden tot op ongeveer 111 meter nauwkeurig worden gelokaliseerd. Tinder en LOVOO waren niet kwetsbaar. Na hun analyse in januari 2023 meldden de onderzoekers hun bevindingen aan alle 15 aanbieders, en TechCrunch meldde dat alle getroffen apps die zij benaderden de werking van afstandsfilters hadden gewijzigd.

Wat is gedocumenteerd

• KU Leuven / USENIX Security-paper: Badoo, Bumble, Hinge en Hily waren gevoelig voor oracle trilateration; Grindr (tot op ongeveer 111 m) en Happn lieten eveneens locatieafleiding toe.
• TechCrunch: Bumble zegt begin 2023 op de hoogte te zijn gebracht en de problemen te hebben opgelost, ook in Badoo; Hinge zegt begin 2023 maatregelen te hebben genomen; Hily zegt het rapport in mei 2023 te hebben ontvangen; Happn zegt dat een extra beveiliging de techniek ondoeltreffend maakte; Grindr zegt dat bepaalde locatie-informatie nodig is om gebruikers in de buurt met elkaar te verbinden.

Wat is niet vastgesteld

• Of een gebruiker daadwerkelijk door een aanvaller met deze methode is gelokaliseerd.
• Happn zegt dat de techniek ondoeltreffend was tegen zijn app.

Wat dit voor jou betekent

1. Zet de weergave van afstand uit als de app dat toestaat, en gebruik de app niet thuis of op het werk als je veiligheid in gevaar is.
2. Geef in je profiel of vroege chats niet prijs waar je woont.
3. Als je wordt gestalkt, overweeg dan locatiegebaseerde apps te pauzeren en neem contact op met de politie.