Hinge & Bumble-lek onthult gebruikerslocaties

“Ondanks wat je aanvankelijk dacht, is het swipen naar rechts om een date te vinden misschien niet zo veilig en kan het je locatiegegevens blootstellen aan potentiële stalkers.”

Volgens een onderzoek van onderzoekers naar verschillende datingapps zijn er ernstige beveiligingslekken ontdekt. Dit geldt ook voor populaire opties zoals Bumble, die de privacy van gebruikers in gevaar kunnen brengen.

Volgens een team onderzoekers van de KU Leuven, een universiteit in België, hebben deze applicaties beveiligingsproblemen waardoor de locatie van een gebruiker tot op 2 meter nauwkeurig kan worden vastgesteld.

In het onderzoek werden de 15 populairste datingapps door onderzoekers onderzocht. Er werd ontdekt dat platforms zoals Badoo, Bumble, Grindr, happn, Hinge en Hily kwetsbaarheden hadden die door aanvallers konden worden misbruikt om exacte locaties te bepalen met behulp van een methode die bekendstaat als Oracle Trilateration.

Oracle Trileration is een techniek waarbij de persoon die iemand probeert te lokaliseren, in eerste instantie een weloverwogen gok doet over de mogelijke verblijfplaats van die persoon. Vervolgens beweegt hij of zij in drie verschillende richtingen totdat de applicatie aangeeft dat het doelwit zich niet langer binnen bereik bevindt. Dit geeft hem of haar drie referentiepunten om te gebruiken. Door deze drie punten te gebruiken, kan hij of zij de exacte locatie van het doelwit nauwkeurig bepalen.

Filters zoals leeftijd, lengte, relatietype en andere worden doorgaans gebruikt om een ideale match te bepalen. Wanneer het echter wordt gecombineerd met Oracle Trilateration, kan het afstandsfilter de locatie van de gebruiker onthullen.

Desondanks hebben de meeste platforms stappen ondernomen om de zorgen weg te nemen en de precisie van de coördinaten verminderd. Deze inspanning zou het lastig moeten maken om gebruikers verder dan een kilometer te volgen.

In mei 2023 liet Dmytro Kononov, CTO en medeoprichter van Hily, TechCrunch weten dat zij op de hoogte waren van de kwetsbaarheid en vervolgens een intern onderzoek hadden uitgevoerd.

“Volgens Kononov suggereerden de bevindingen weliswaar de mogelijkheid van trilateratie, maar het was niet haalbaar om dit in de praktijk te gebruiken voor aanvallen. Dit komt omdat onze interne mechanismen specifiek zijn ontworpen om spam te voorkomen en ons zoekalgoritme is gebaseerd op logisch redeneren.”

“Ondanks dit hebben we grondige discussies gevoerd met de auteurs van het rapport en hebben we samengewerkt om nieuwe geocoderingsalgoritmen te creëren die de potentie voor dit type aanval volledig elimineren. Deze bijgewerkte algoritmen worden nu al meer dan een jaar effectief gebruikt”, aldus hij.

Ondanks dit blijft Grindr locatietracking toestaan binnen een straal van 111 meter. Het bedrijf beweert dat het deze functie opzettelijk heeft ontworpen om gebruikers in de buurt met elkaar te verbinden en kan deze daarom niet verwijderen.