Feeld: luki w zabezpieczeniach mogły ujawniać wiadomości i prywatne zdjęcia

Firma zajmująca się bezpieczeństwem odkryła, że luki w Feeld mogły pozwalać osobom z zewnątrz czytać czaty i otwierać prywatne zdjęcia i filmy. Feeld twierdzi, że naprawiło problemy w 2024 roku i nie widziało dowodów nadużyć.

Co się stało

W marcu 2024 roku londyńska firma zajmująca się bezpieczeństwem Fortbridge zgłosiła Feeld, aplikacji randkowej dla alternatywnych relacji, kilka podatności. Większość z nich dotyczyła wadliwej kontroli dostępu. Według Fortbridge atakujący, który znał „stream user ID” innego użytkownika, mógł czytać jego wiadomości i otwierać udostępnione zdjęcia i filmy bez logowania, w tym materiały ograniczone czasowo i „do jednorazowego odtworzenia”. Atakujący mógł też edytować, usuwać lub odzyskiwać wiadomości, zmieniać profil innej osoby, w tym jej seksualność, oraz widzieć dopasowania innych osób. Feeld powiedziało The Guardian, że naprawiło problemy do 28 maja 2024 roku. Firma oświadczyła, że nie widziała dowodów na uzyskanie dostępu do danych użytkowników, więc nie zgłosiła sprawy brytyjskiemu organowi nadzorczemu, ICO. Fortbridge opublikowało swoje ustalenia we wrześniu 2024 roku.

Co jest udokumentowane

• Fortbridge: osiem podatności; w jego osi czasu wskazano zgłoszenie do Feeld 8 marca 2024 roku i publikację 10 września 2024 roku.
• The Guardian: Feeld twierdzi, że badało problemy od 3 marca i naprawiło je do 28 maja 2024 roku, a dowodów naruszenia nie widziało; ICO poinformowało, że nie otrzymało zgłoszeń naruszenia.
• The Guardian: Fortbridge stwierdziło, że luki mogła wykorzystać osoba z „podstawową wiedzą techniczną”.

Czego nie ustalono

• Czy ktokolwiek faktycznie wykorzystał luki, zanim je naprawiono.
• Jak długo luki istniały przed marcem 2024 roku.
• Z tych źródeł nie wynika żadna decyzja organu nadzorczego.
• Oba źródła podają różne daty w marcu (3 i 8 marca) dla momentu poinformowania Feeld.

Co to oznacza dla ciebie

1. Nie udostępniaj intymnych zdjęć, których rozpowszechnienia nie mógłbyś zaakceptować, nawet przy funkcjach „obejrzyj raz”.
2. Aktualizuj aplikację, aby otrzymywać poprawki bezpieczeństwa.
3. Unikaj podawania na czatach szczegółów, które mogą Cię zidentyfikować, takich jak miejsce pracy czy adres.