La scappatoia di Hinge & Bumble espone le posizioni degli utenti

“Nonostante le convinzioni iniziali, scorrere verso destra per trovare un appuntamento potrebbe non essere così sicuro e potrebbe potenzialmente esporre le tue informazioni sulla posizione a potenziali stalker”.

Secondo uno studio condotto dai ricercatori su varie app di incontri, sono state scoperte gravi falle di sicurezza. Tra queste, opzioni popolari come Bumble, che potrebbero potenzialmente mettere a rischio la privacy degli utenti.

Secondo un team di ricercatori della KU Leuven, un’università belga, queste applicazioni presentano vulnerabilità di sicurezza che possono rivelare con precisione la posizione di un utente fino a 2 metri (6 piedi e mezzo).

Nello studio, i ricercatori hanno esaminato le 15 app di incontri più popolari. È stato scoperto che piattaforme come Badoo, Bumble, Grindr, happn, Hinge e Hily presentavano vulnerabilità che potevano essere sfruttate dagli aggressori per individuare posizioni esatte utilizzando un metodo noto come Oracle Trilateration.

Oracle Trileration è una tecnica in cui l’individuo che tenta di localizzare qualcuno inizialmente fa un’ipotesi istruita sulla sua possibile ubicazione. Quindi, procede a muoversi in tre direzioni diverse finché l’applicazione non indica che il bersaglio non è più nel raggio d’azione. Ciò fornisce loro tre punti di riferimento da utilizzare. Utilizzando questi tre punti, possono determinare con precisione la posizione esatta del bersaglio.

Filtri come età, altezza, tipo di relazione e altri sono solitamente utilizzati per determinare una corrispondenza ideale. Tuttavia, se combinato con Oracle Trilateration, il filtro di distanza potrebbe rivelare la posizione dell’utente.

Nonostante ciò, la maggior parte delle piattaforme ha preso misure per risolvere i problemi e ha ridotto la precisione delle coordinate. Questo sforzo dovrebbe rendere difficile tracciare gli utenti oltre una distanza di un chilometro.

Nel maggio 2023, Dmytro Kononov, CTO e co-fondatore di Hily, ha informato TechCrunch di essere venuto a conoscenza della vulnerabilità e di aver successivamente condotto un’indagine interna.

“Secondo Kononov, mentre i risultati suggerivano il potenziale per la trilaterazione, non era fattibile utilizzarla per gli attacchi in pratica. Questo perché i nostri meccanismi interni sono specificamente progettati per prevenire lo spam e il nostro algoritmo di ricerca si basa sul ragionamento logico”.

“Nonostante ciò, abbiamo condotto discussioni approfondite con gli autori del rapporto e abbiamo lavorato insieme per creare nuovi algoritmi di geocodifica che eliminano completamente il potenziale per questo tipo di attacco. Questi algoritmi aggiornati sono stati utilizzati efficacemente per oltre un anno”, ha affermato.

Nonostante ciò, Grindr continua a consentire il tracciamento della posizione entro un raggio di 111 metri. L’azienda sostiene di aver progettato intenzionalmente questa funzionalità per connettere gli utenti in prossimità e pertanto non può rimuoverla.