Feeld: Sikkerhetsfeil kunne gi tilgang til meldinger og private bilder

Et sikkerhetsfirma fant at feil i Feeld kunne la utenforstående lese samtaler og åpne private bilder og videoer. Feeld sier at det rettet feilene i 2024 og ikke så tegn til misbruk.

Hva skjedde

I mars 2024 varslet det Londonbaserte sikkerhetsfirmaet Fortbridge Feeld, en datingapp for alternative forhold, om flere sårbarheter. De fleste gjaldt svikt i tilgangskontroll. Ifølge Fortbridge kunne en angriper som hadde en annen brukers «stream user ID» lese brukerens meldinger og åpne delte bilder og videoer uten å logge inn, også tidsbegrensede medier og medier som kan spilles av bare én gang. Angriperen kunne også redigere, slette eller gjenopprette meldinger, endre en annen persons profil, inkludert seksualitet, og se andres matcher. Feeld sa til The Guardian at det hadde rettet feilene innen 28. mai 2024. Det sa at det ikke hadde sett tegn til at brukerdata var åpnet, og meldte derfor ikke saken til den britiske tilsynsmyndigheten ICO. Fortbridge publiserte funnene sine i september 2024.

Hva er dokumentert

• Fortbridge: åtte sårbarheter; tidslinjen oppgir varsling til Feeld 8. mars 2024 og publisering 10. september 2024.
• The Guardian: Feeld sier at det undersøkte feilene fra 3. mars og rettet dem innen 28. mai 2024, og at det ikke hadde sett tegn til brudd; ICO sa at den ikke hadde mottatt meldinger om brudd.
• The Guardian: Fortbridge sa at feilene kunne utnyttes av noen med «grunnleggende teknisk kunnskap».

Hva er ikke fastslått

• Om noen faktisk utnyttet feilene før de ble rettet.
• Hvor lenge feilene hadde eksistert før mars 2024.
• Ingen vedtak fra tilsynsmyndigheter er kjent fra disse kildene.
• De to kildene oppgir ulike datoer i mars (3. og 8. mars) for når Feeld ble varslet.

Hva dette betyr for deg

1. Ikke del intime bilder du ikke ville akseptert å se spredt, selv med «vis én gang»-funksjoner.
2. Hold appen oppdatert slik at du får sikkerhetsrettinger.
3. Unngå å dele opplysninger i samtaler som kan identifisere deg, som arbeidssted eller adresse.