Grindr: Säkerhetsbrist lät vem som helst ta över användarkonton

År 2020 gjorde en brist i Grindrs lösenordsåterställning att vem som helst som kände till en användares e-postadress kunde ta över kontot, inklusive meddelanden, bilder och fält för hivstatus.

Vad hände

I oktober 2020 upptäckte en oberoende säkerhetsforskare att Grindrs sida för lösenordsåterställning skickade tillbaka den hemliga återställningstoken till webbläsaren. Med denna token kunde vem som helst som kände till en användares e-postadress skapa en återställningslänk, ange ett nytt lösenord och logga in på kontot. En annan forskare testade bristen och bekräftade den med ett testkonto. TechCrunch rapporterade att de åtkomliga uppgifterna omfattade bilder, meddelanden, sexuell läggning, hivstatus och datum för det senaste testet. Grindr åtgärdade bristen kort efter att den blivit offentlig. Företaget uppgav att det bedömde att problemet hade åtgärdats innan någon med onda avsikter hade utnyttjat det.

Vad är dokumenterat

• TechCrunch rapporterade om bristen, bekräftade att den hade åtgärdats och publicerade Grindrs uttalande.
• Forskaren som bekräftade bristen beskrev i sin egen redogörelse hur han tog över ett testkonto och att problemet hade åtgärdats.

Vad har inte fastställts

• Om någon utnyttjade bristen innan den åtgärdades. Grindr säger nej; detta har inte bekräftats oberoende.
• Inget beslut från någon tillsynsmyndighet om denna händelse har hittats.

Vad detta betyder för dig

1. Aktivera eventuellt extra inloggningsskydd som appen erbjuder och använd en e-postadress som andra inte känner till.
2. Tänk igenom vilka känsliga uppgifter, till exempel hälsostatus, du lagrar i en dejtingprofil.
3. Om du får ett mejl om lösenordsåterställning som du inte har begärt, byt lösenord direkt.