Grindr: Luka w zabezpieczeniach pozwalała każdemu przejąć konta użytkowników

W 2020 roku błąd w funkcji resetowania hasła Grindr pozwalał każdemu, kto znał adres e-mail użytkownika, przejąć jego konto, w tym wiadomości, zdjęcia i pola dotyczące statusu HIV.

Co się stało

W październiku 2020 roku niezależny badacz bezpieczeństwa odkrył, że strona resetowania hasła Grindr odsyłała do przeglądarki tajny token resetowania. Dzięki temu tokenowi każdy, kto znał adres e-mail użytkownika, mógł utworzyć link do resetowania, ustawić nowe hasło i zalogować się na konto. Drugi badacz przetestował lukę i potwierdził ją za pomocą konta testowego. TechCrunch podał, że dostępne dane obejmowały zdjęcia, wiadomości, orientację seksualną, status HIV i datę ostatniego testu. Grindr usunął lukę wkrótce po jej ujawnieniu. Firma oświadczyła, że jej zdaniem problem rozwiązano, zanim ktokolwiek wykorzystał go w złych zamiarach.

Co jest udokumentowane

• TechCrunch opisał lukę, potwierdził jej usunięcie i opublikował oświadczenie Grindr.
• Badacz, który potwierdził lukę, opisał we własnej relacji, jak przejął konto testowe, i poinformował, że problem został rozwiązany.

Czego nie ustalono

• Czy ktoś wykorzystał lukę przed jej usunięciem. Grindr twierdzi, że nie; nie zostało to niezależnie potwierdzone.
• Nie znaleziono decyzji organu nadzorczego dotyczącego tego incydentu.

Co to oznacza dla ciebie

1. Włącz wszelkie dodatkowe zabezpieczenia logowania oferowane przez aplikację i używaj adresu e-mail, którego inni nie znają.
2. Zastanów się, jakie wrażliwe informacje, na przykład dotyczące stanu zdrowia, przechowujesz w profilu randkowym.
3. Jeśli otrzymasz niezamówioną wiadomość o resetowaniu hasła, natychmiast zmień hasło.