Grindr: Door beveiligingslek kon iedereen gebruikersaccounts overnemen

In 2020 kon door een fout in de wachtwoordreset van Grindr iedereen die het e-mailadres van een gebruiker kende het account overnemen, inclusief berichten, foto's en velden voor de hivstatus.

Wat er gebeurde

In oktober 2020 ontdekte een onafhankelijke beveiligingsonderzoeker dat de pagina voor het opnieuw instellen van wachtwoorden van Grindr het geheime resettoken terugstuurde naar de browser. Met dat token kon iedereen die het e-mailadres van een gebruiker kende een resetlink maken, een nieuw wachtwoord instellen en inloggen op het account. Een tweede onderzoeker testte het lek en bevestigde het met een testaccount. TechCrunch meldde dat de toegankelijke gegevens onder meer foto's, berichten, seksuele gerichtheid, hivstatus en de datum van de laatste test omvatten. Grindr verhielp het lek kort nadat het openbaar was geworden. Het bedrijf zei ervan uit te gaan dat het probleem was opgelost voordat een kwaadwillende er gebruik van had gemaakt.

Wat is gedocumenteerd

• TechCrunch berichtte over het lek, bevestigde dat het was verholpen en publiceerde de verklaring van Grindr.
• De onderzoeker die het lek bevestigde, beschreef in zijn eigen verslag hoe hij een testaccount overnam en dat het probleem was opgelost.

Wat is niet vastgesteld

• Of iemand het lek heeft gebruikt voordat het werd verholpen. Grindr zegt van niet; dit is niet onafhankelijk bevestigd.
• Er is geen besluit van een toezichthouder over dit incident gevonden.

Wat dit voor jou betekent

1. Schakel eventuele extra inlogbeveiliging in die de app biedt en gebruik een e-mailadres dat anderen niet kennen.
2. Denk na over welke gevoelige informatie, zoals je gezondheidsstatus, je in een datingprofiel opslaat.
3. Als je een e-mail voor het opnieuw instellen van je wachtwoord krijgt die je niet hebt aangevraagd, wijzig je wachtwoord dan meteen.