Millionen von Bumble-Nutzern nach Online-Dating-Angriff in Gefahr

Millionen von Bumble-Nutzern nach Online-Dating-Angriff in Gefahr

Die Privatsphäre von Millionen Nutzern der Bumble-Dating-App ist möglicherweise online aufgrund von Sicherheitslücken gefährdet, die seit über sechs Monaten nicht behoben wurden. Forscher des in Kalifornien ansässigen Independent Security Evaluators (ISE) haben herausgefunden, dass ein Angreifer leicht vertrauliche Informationen über jeden Bumble-Benutzer erlangen kann, selbst wenn dieser bereits von der App ausgeschlossen wurde. Da die Bumble-API nicht die notwendigen Prüfungen durchführte, um festzustellen, ob ein Anforderer eine bestimmte Aktion ausführen oder die Anzahl der zu sendenden Anfragen begrenzen konnte, war es möglich, auf Daten auf den Servern von Bumble zuzugreifen, die hätten gepflegt werden sollen. Wenn ein Bumble-Profil mit Facebook verknüpft wäre, könnten Hacker auf weitere Informationen zugreifen, einschließlich der Art des gesuchten Datums und der Bilder, die sie in die App hochgeladen hatten. Noch besorgniserregender war die Möglichkeit, den ungefähren Standort eines Benutzers zu ermitteln, während er sich in derselben Stadt wie der Hacker aufhielt. Durch die Auswertung der „Entfernung in Meilen“ eines Benutzers über verschiedene gefälschte Konten hinweg konnten Hacker den Standort eines Benutzers mit alarmierender Genauigkeit triangulieren.

Bumble-Sicherheitsfehler

Von der ISE gefundene Sicherheitslücken können mit einem einfachen Skript leicht ausgenutzt werden. Außerdem sind sie leicht zu identifizieren und zu reparieren, was es umso besorgniserregender macht, dass sie so viele Benutzer gefährden konnten. „Stand 1. November 2020 funktionieren alle in diesem Blog erwähnten Angriffe immer noch“, sagte Sanjana Sarda, Sicherheitsanalystin bei ISE. „Bei der erneuten Prüfung auf die folgenden Probleme am 11. November 2020 konnten einige Probleme teilweise behoben werden. Bumble verwendet keine sequentiellen Benutzer-IDs mehr und hat sein bisheriges Verschlüsselungsschema aktualisiert. Dies bedeutet, dass ein Angreifer mit dem hier beschriebenen Angriff nicht mehr die gesamte Bumble-Benutzerbasis ausschalten kann. „Während Sicherheitsbedenken ausgeräumt werden, wurde Bumble erstmals im März alarmiert. Leider bot diese Verzögerung den Angreifern eine große Chance.“ Via Forbes