La faille Hinge & Bumble révèle les emplacements des utilisateurs

« Malgré les croyances initiales, balayer vers la droite pour trouver une date n’est peut-être pas aussi sûr et pourrait potentiellement exposer vos informations de localisation à des harceleurs potentiels. »

Selon une étude menée par des chercheurs sur plusieurs applications de rencontre, de graves failles de sécurité ont été découvertes. Cela inclut des options populaires comme Bumble, qui pourraient potentiellement mettre en danger la vie privée des utilisateurs.

Selon une équipe de chercheurs de la KU Leuven, une université belge, ces applications présentent des vulnérabilités de sécurité qui peuvent révéler avec précision la localisation d’un utilisateur jusqu’à 2 mètres (6 pieds et demi).

Dans le cadre de cette étude, les chercheurs ont examiné les 15 applications de rencontre les plus populaires. Ils ont découvert que des plateformes telles que Badoo, Bumble, Grindr, happn, Hinge et Hily présentaient des vulnérabilités qui pouvaient être exploitées par des attaquants pour localiser des emplacements précis à l’aide d’une méthode connue sous le nom de trilatération Oracle.

Oracle Trileration est une technique dans laquelle la personne qui tente de localiser quelqu’un fait d’abord une estimation éclairée de son emplacement possible. Ensuite, elle se déplace dans trois directions différentes jusqu’à ce que l’application indique que la cible n’est plus à portée. Cela lui fournit trois points de référence à utiliser. En utilisant ces trois points, elle peut déterminer avec précision l’emplacement exact de la cible.

Des filtres tels que l’âge, la taille, le type de relation et d’autres sont généralement utilisés pour déterminer une correspondance idéale. Cependant, lorsqu’il est combiné avec Oracle Trilateration, le filtre de distance peut révéler l’emplacement de l’utilisateur.

Malgré cela, la majorité des plateformes ont pris des mesures pour résoudre le problème et ont réduit la précision des coordonnées. Cette mesure devrait rendre difficile le suivi des utilisateurs au-delà d’une distance d’un kilomètre.

En mai 2023, Dmytro Kononov, CTO et co-fondateur de Hily, a informé TechCrunch qu’ils avaient pris connaissance de la vulnérabilité et ont ensuite mené une enquête interne.

« D’après Kononov, même si les résultats suggèrent un potentiel de trilatération, il n’est pas possible de l’utiliser dans la pratique pour des attaques. En effet, nos mécanismes internes sont spécifiquement conçus pour empêcher le spam et notre algorithme de recherche est basé sur le raisonnement logique. »

« Malgré cela, nous avons mené des discussions approfondies avec les auteurs du rapport et avons travaillé ensemble pour créer de nouveaux algorithmes de géocodage qui éliminent complètement le potentiel de ce type d’attaque. Ces algorithmes mis à jour sont utilisés efficacement depuis plus d’un an maintenant », a-t-il déclaré.

Malgré cela, Grindr continue de permettre le suivi de la localisation dans un rayon de 111 mètres. L’entreprise maintient qu’elle a intentionnellement conçu cette fonctionnalité pour connecter les utilisateurs à proximité et qu’elle ne peut donc pas la supprimer.