Feeld: beveiligingslekken konden berichten en privéfoto's blootleggen

Een beveiligingsbedrijf ontdekte dat fouten in Feeld buitenstaanders chats konden laten lezen en privéfoto's en -video's konden laten openen. Feeld zegt de problemen in 2024 te hebben opgelost en geen aanwijzingen voor misbruik te hebben gezien.

Wat er gebeurde

In maart 2024 meldde het in Londen gevestigde beveiligingsbedrijf Fortbridge verschillende kwetsbaarheden aan Feeld, een datingapp voor alternatieve relaties. De meeste betroffen kapotte toegangscontroles. Volgens Fortbridge kon een aanvaller die de "stream user ID" van een andere gebruiker had, de berichten van die gebruiker lezen en gedeelde foto's en video's openen zonder in te loggen, waaronder tijdelijke media en "play-once"-media. De aanvaller kon ook berichten bewerken, verwijderen of herstellen, het profiel van een ander wijzigen, inclusief de seksualiteit, en de matches van anderen zien. Feeld vertelde The Guardian dat het de problemen uiterlijk op 28 mei 2024 had opgelost. Het zei geen aanwijzingen te hebben gezien dat gebruikersgegevens waren ingezien en meldde de kwestie daarom niet bij de Britse toezichthouder, de ICO. Fortbridge publiceerde zijn bevindingen in september 2024.

Wat is gedocumenteerd

• Fortbridge: acht kwetsbaarheden; de tijdlijn vermeldt melding aan Feeld op 8 maart 2024 en publicatie op 10 september 2024.
• The Guardian: Feeld zegt de problemen vanaf 3 maart te hebben onderzocht en uiterlijk op 28 mei 2024 te hebben opgelost, en geen aanwijzingen voor een datalek te hebben gezien; de ICO zei geen meldingen van een datalek te hebben ontvangen.
• The Guardian: Fortbridge zei dat de fouten konden worden misbruikt door iemand met "basale technische kennis".

Wat is niet vastgesteld

• Of iemand de fouten daadwerkelijk heeft misbruikt voordat ze werden opgelost.
• Hoe lang de fouten bestonden vóór maart 2024.
• Uit deze bronnen is geen besluit van een toezichthouder bekend.
• De twee bronnen noemen verschillende data in maart (3 en 8 maart) voor wanneer Feeld op de hoogte werd gebracht.

Wat dit voor jou betekent

1. Deel geen intieme beelden waarvan je het verspreiden niet zou kunnen accepteren, ook niet met functies als "eenmalig bekijken".
2. Houd de app bijgewerkt zodat je beveiligingsoplossingen ontvangt.
3. Vermijd het delen van details in chats waarmee je geïdentificeerd kunt worden, zoals je werkplek of adres.