Grindr: Sikkerhetshull lot hvem som helst overta brukerkontoer

I 2020 gjorde en feil i Grindrs tilbakestilling av passord at hvem som helst som kjente en brukers e-postadresse, kunne overta kontoen, inkludert meldinger, bilder og felt for hivstatus.

Hva skjedde

I oktober 2020 oppdaget en uavhengig sikkerhetsforsker at Grindrs side for tilbakestilling av passord sendte det hemmelige tilbakestillingstokenet tilbake til nettleseren. Med dette tokenet kunne hvem som helst som kjente en brukers e-postadresse, lage en tilbakestillingslenke, angi et nytt passord og logge inn på kontoen. En annen forsker testet feilen og bekreftet den med en testkonto. TechCrunch rapporterte at de tilgjengelige opplysningene omfattet bilder, meldinger, seksuell orientering, hivstatus og dato for siste test. Grindr rettet feilen kort tid etter at den ble offentlig kjent. Selskapet sa at det mente problemet var løst før noen med ondsinnede hensikter hadde utnyttet det.

Hva er dokumentert

• TechCrunch omtalte feilen, bekreftet at den var rettet, og publiserte Grindrs uttalelse.
• Forskeren som bekreftet feilen, beskrev i sin egen gjennomgang hvordan han overtok en testkonto, og at problemet var løst.

Hva er ikke fastslått

• Om noen utnyttet feilen før den ble rettet. Grindr sier nei; dette er ikke uavhengig bekreftet.
• Ingen avgjørelse fra en tilsynsmyndighet om denne hendelsen er funnet.

Hva dette betyr for deg

1. Slå på eventuell ekstra innloggingsbeskyttelse appen tilbyr, og bruk en e-postadresse andre ikke kjenner.
2. Tenk gjennom hvilke sensitive opplysninger, som helsestatus, du lagrer i en datingprofil.
3. Hvis du får en e-post om tilbakestilling av passord som du ikke har bedt om, bør du endre passordet med en gang.