Bumble: błąd systemu umożliwiał dostęp do danych profilowych

W 2020 roku badaczka bezpieczeństwa wykryła luki w systemach Bumble, które umożliwiały dostęp do danych osobowych użytkowników, między innymi ich poglądów politycznych i odległości. Bumble twierdzi, że naprawiło błąd i że dane użytkowników nie zostały naruszone.

Co się stało

Badaczka z Independent Security Evaluators odkryła, że API Bumble nie sprawdzało, czy osoba żądająca danych jest do tego uprawniona. Dzięki temu mogła uzyskać takie informacje jak poglądy polityczne, wykształcenie, wzrost i waga, odległość w milach oraz preferowany typ partnera. Dostępne były również dane powiązane z kontami użytkowników na Facebooku. Według badaczki minęło dużo czasu od powiadomienia Bumble do podjęcia działań w sprawie błędu. Później zablokowano możliwość pobrania całej bazy użytkowników. Bumble powiedziało serwisowi TechRadar, że przyczyna problemu została usunięta i że dane użytkowników nie zostały naruszone.

Co jest udokumentowane

• Threatpost przeprowadził wywiad z badaczką i opisał, jakie informacje były dostępne.
• TechRadar uzyskał bezpośrednie oświadczenie Bumble potwierdzające lukę w zabezpieczeniach i jej naprawienie.

Czego nie ustalono

• Nie udokumentowano, by przestępcy faktycznie pobrali dane użytkowników.
• Badaczka opisała częściowe usunięcie problemu na wczesnym etapie. Bumble poinformowało później, że problem został rozwiązany. Chodzi o różne etapy, co nie oznacza, że luka nadal pozostaje otwarta.
• To podatność techniczna, a nie orzeczenie sądu ani decyzja organu nadzorczego.

Co to oznacza dla ciebie

1. Zastanów się, jakie informacje umieszczasz w profilu randkowym. Ujawnić mogą się nie tylko zdjęcia.
2. Odróżniaj możliwość pobrania danych przez badaczkę od faktycznej kradzieży tych danych.
3. Zachowaj ostrożność przy łączeniu aplikacji randkowej z innymi kontami, na przykład na Facebooku.