Bumble, Badoo, Hinge, Hily: użytkowników można było zlokalizować z dokładnością do 2 metrów

Badacze z KU Leuven odkryli, że filtry odległości w kilku aplikacjach randkowych mogły ujawniać niemal dokładną lokalizację użytkownika. Firmy twierdzą, że luki naprawiono po zgłoszeniu w 2023 roku.

Co się stało

Badacze z KU Leuven przeanalizowali 15 aplikacji randkowych opartych na lokalizacji i opublikowali wyniki na konferencji USENIX Security w sierpniu 2024 roku. Stwierdzili, że Badoo, Bumble, Hinge i Hily używały w filtrach odległości dokładnych odległości. Atakujący mógł krok po kroku przemieszczać konto testowe, aż cel wypadł z filtra w trzech kierunkach, a następnie obliczyć jego położenie. Badacze nazywają to „oracle trilateration”. Według TechCrunch pozwalało to wskazać użytkownika z dokładnością do około 2 metrów, nawet gdy odległość była w aplikacji ukryta. Happn ujawniał dokładniejsze odległości, niż wyświetlał, a użytkowników Grindr można było zlokalizować z dokładnością do około 111 metrów. Tinder i LOVOO nie były podatne. Po analizie w styczniu 2023 roku badacze zgłosili swoje ustalenia wszystkim 15 dostawcom, a TechCrunch poinformował, że wszystkie dotknięte aplikacje, z którymi się skontaktowali, zmieniły sposób działania filtrów odległości.

Co jest udokumentowane

• KU Leuven / praca z USENIX Security: Badoo, Bumble, Hinge i Hily były podatne na oracle trilateration; Grindr (do około 111 m) i Happn również umożliwiały wnioskowanie o lokalizacji.
• TechCrunch: Bumble twierdzi, że dowiedziało się o tym na początku 2023 roku i rozwiązało problemy, także w Badoo; Hinge twierdzi, że podjęło działania na początku 2023 roku; Hily twierdzi, że otrzymało zgłoszenie w maju 2023 roku; Happn twierdzi, że dodatkowe zabezpieczenie uczyniło tę technikę nieskuteczną; Grindr twierdzi, że pewne informacje o lokalizacji są potrzebne do łączenia pobliskich użytkowników.

Czego nie ustalono

• Czy jakikolwiek użytkownik został faktycznie zlokalizowany przez atakującego tą metodą.
• Happn twierdzi, że ta technika była nieskuteczna wobec jego aplikacji.

Co to oznacza dla ciebie

1. Wyłącz wyświetlanie odległości, jeśli aplikacja na to pozwala, i unikaj korzystania z aplikacji w domu lub w pracy, jeśli zagrożone jest Twoje bezpieczeństwo.
2. Nie ujawniaj w profilu ani we wczesnych rozmowach, gdzie mieszkasz.
3. Jeśli ktoś Cię prześladuje, rozważ wstrzymanie aplikacji opartych na lokalizacji i skontaktuj się z policją.