Bumble и Hinge позволяли определять местоположение пользователей с точностью до 2 метров

Группа исследователей заявила, что уязвимости в некоторых приложениях для знакомств, включая популярные Bumble и Hinge, позволяют злоумышленникам определять местоположение пользователей с точностью до 2 метров.

В новой статье исследователи из бельгийского университета KU Leuven подробно описали свои выводы, сделанные при анализе 15 популярных приложений для знакомств. По словам исследователей, Badoo, Bumble, Grindr, happn, Hinge и Hily имели одну и ту же уязвимость, которая могла помочь злоумышленнику определить точное местоположение другого пользователя.

Хотя ни одно из этих приложений не указывает точное местоположение при отображении расстояния между пользователями в их профилях, они используют точное местоположение для функции «фильтры» в приложениях. Вообще говоря, с помощью фильтров пользователи могут настроить поиск партнера на основе таких критериев, как возраст, рост, тип отношений и, что очень важно, расстояние.

Чтобы определить точное местоположение целевого пользователя, исследователи использовали новую технику, которую они назвали «предсказательной трилатерацией» (oracle trilateration). В общем случае трилатерация, которая, например, используется в GPS, работает путем использования трех точек и измерения их расстояния до цели. В результате образуются три окружности, которые пересекаются в точке, где находится цель.

Предсказательная трилатерация работает несколько иначе. Исследователи пишут в своей статье, что на первом этапе человек, который хочет определить местоположение своей цели, «приблизительно оценивает местоположение жертвы», например, на основе местоположения, отображаемого в профиле цели. Затем злоумышленник перемещается с определенным шагом “до тех пор, пока приложение не укажет, что жертва больше не находится поблизости, и так для трех разных направлений. Теперь у злоумышленника есть три позиции с известным точным расстоянием, и он может трилатеризировать жертву”, — пишут исследователи.

«Было несколько удивительно, что известные проблемы все еще присутствуют в этих популярных приложениях, — рассказал Карел Дхондт, один из исследователей. Хотя эта техника не позволяет узнать точные GPS-координаты жертвы, «я бы сказал, что 2 метра — это достаточно близко, чтобы определить пользователя», — сказал Дхондт.

Хорошая новость заключается в том, что все приложения, в которых были обнаружены подобные проблемы и к которым обратились исследователи, теперь изменили принцип работы фильтров расстояния и не уязвимы для техники трилатерации. По словам исследователей, исправление заключалось в округлении точных координат на три десятичных знака, что делало их менее точными и достоверными.

«Это примерно погрешность в один километр», — сказал Дхондт.

Вице-президент Bumble по глобальным коммуникациям Габриэль Ферри заявил, что компания «узнала об этих находках в начале 2023 года и оперативно устранила указанные проблемы».

Дмитрий Кононов, технический директор и соучредитель Hily, сообщил TechCrunch, что компания получила отчет об уязвимости в мае 2023 года и затем провела расследование, чтобы оценить заявления исследователей.

«Полученные результаты указывали на потенциальную возможность трилатерации. Однако на практике использовать ее для атак было невозможно. Это связано с нашими внутренними механизмами защиты от спамеров и логикой работы поискового алгоритма», — сказал Кононов. «Несмотря на это, мы провели обширные консультации с авторами отчета и совместно разработали новые алгоритмы геокодирования, полностью исключающие этот вид атак. Эти новые алгоритмы успешно применяются уже более года».

Ни Badoo, принадлежащий Bumble, ни Hinge не прокомментировали ситуацию.

Генеральный директор и президент Happn Карима Бен Абдельмалек сообщила TechCrunch по электронной почте, что исследователи обратились к компании в прошлом году.

«После того как наш директор по безопасности ознакомился с результатами исследования, у нас была возможность обсудить с исследователями метод трилатерации. Однако у happn есть дополнительный уровень защиты, помимо простого округления расстояний», — сказал Бен Абдельмалек. «Эта дополнительная защита не была учтена в их анализе, и мы пришли к взаимному согласию, что эта дополнительная мера в happn делает метод трилатерации неэффективным».