La enorme falla de seguridad de Grindr podría haber permitido que cualquiera restableciera su contraseña y se hiciera cargo de su cuenta
Se ha descubierto una grave vulnerabilidad de seguridad en Grindr, la aplicación de citas más popular para personas homosexuales, bisexuales, trans y queer, que podría haber permitido a cualquiera infiltrarse y hacerse cargo de una cuenta de Grindr simplemente conociendo la dirección de correo electrónico del titular de la cuenta.
Además de facilitar que los malos actores se hagan pasar por otras personas, la vulnerabilidad les habría facilitado el acceso a información potencialmente muy sensible, incluido el estado serológico del usuario, las fotos íntimas, el historial de citas y la orientación sexual.
En un entrada de su blog , el investigador de seguridad Troy Hunt explica como se puede explotar esta vulnerabilidad , y la describió como «una de las técnicas de toma de control de cuentas más básicas que he visto», y agregó que «la facilidad de explotación es increíblemente baja y el impacto es obviamente significativo».
Señaló la falla de seguridad a Grindr después de que el investigador de seguridad francés Wassime Bouimadaghene lo avisara, quien había tratado repetidamente de advertir a la compañía al respecto, solo para que sus mensajes cayeran en oídos sordos.
Grindr ahora ha solucionado el problema y dice que no cree que nadie haya aprovechado la vulnerabilidad.
Cómo se podría aprovechar la vulnerabilidad
Bouimadaghene había descubierto que era posible hacerse cargo de una cuenta de Grindr simplemente ingresando la dirección de correo electrónico asociada con la cuenta en la herramienta de restablecimiento de contraseña de Grindr.
Además de enviar un enlace en el que se puede hacer clic con el token de restablecimiento de contraseña a esa dirección de correo electrónico, Grindr había estado filtrando el token dentro del navegador, y Bouimadaghene descubrió que podía usarlo para restablecer la contraseña en cualquier cuenta, sin necesidad de acceder al correo electrónico del usuario.
Una vez que se restableció la contraseña asociada con una cuenta, podría establecer fácilmente una nueva contraseña y hacerse cargo de la cuenta por completo. Troy Hunt confirmó que este era el caso.
«Estamos agradecidos por el investigador que identificó una vulnerabilidad. El problema informado se ha solucionado. Afortunadamente, creemos que abordamos el problema antes de que fuera explotado por partes maliciosas», dijo a TechCrunch el director de operaciones de Grindr, Rick Marini.
Esta imagen tomada el 27 de marzo de 2019 muestra la aplicación Grindr en un teléfono en Los Ángeles. La aplicación de citas para personas homosexuales, bisexuales, trans y queer ha tenido que corregir una falla de seguridad que hubiera permitido a cualquiera secuestrar una cuenta simplemente intentando restablecerla.
«Como parte de nuestro compromiso de mejorar la seguridad y la protección de nuestro servicio, nos estamos asociando con una empresa de seguridad líder para simplificar y mejorar la capacidad de los investigadores de seguridad para informar problemas como estos. Además, pronto anunciaremos un nuevo error programa de recompensas para proporcionar incentivos adicionales para que los investigadores nos ayuden a mantener nuestro servicio seguro en el futuro «.
Grindr no tiene el mejor historial en materia de seguridad. En 2018 se reveló que había estado compartiendo el estado de VIH de los usuarios y las fechas de las pruebas con otras empresas.
