Grindr Vulnerability a permis aux pirates de réinitialiser les mots de passe des comptes et de reprendre des comptes
Une vulnérabilité Grindr importante a été découverte en septembre 2020. Le problème de sécurité a permis à des acteurs malveillants de prendre le contrôle du compte Grind d'un utilisateur s'ils connaissaient simplement l'adresse e-mail de l'utilisateur.
Le réseau social destiné aux adultes avait un problème de sécurité très important . Un pirate informatique n'avait besoin que d'une adresse e-mail utilisateur pour ouvrir un compte. En introduisant l'e-mail dans la page «Trouvez votre compte» du service - l'équivalent d'un formulaire «J'ai oublié mon mot de passe», vous avez ouvert un formulaire Captcha de vérification de bot, puis affichez un message indiquant qu'un e-mail de réinitialisation de mot de passe avait été envoyé. Cependant, l'ouverture des outils de développement du navigateur, une simple pression sur une touche dans Chrome, a fait apparaître le jeton de réinitialisation de mot de passe Grindr interne, juste là, dans le code de la page.
Le fait de combiner l'adresse e-mail de l'utilisateur avec le jeton de réinitialisation du mot de passe était suffisant pour permettre aux acteurs malveillants d'accéder à la demande de mot de passe réelle liée dans l'e-mail envoyé par le service. Désormais, changer le mot de passe et reprendre le compte est un jeu d'enfant.
La connexion au compte piraté à l'aide du mot de passe nouvellement créé a fait apparaître une fenêtre contextuelle indiquant à l'utilisateur de confirmer la connexion via l'application mobile. Si vous pensez qu'il s'agit d'une vérification à deux facteurs liée à votre numéro de téléphone, ce n'est pas le cas. Le chercheur en sécurité Troy Hunt, qui a mené cette petite expérience à la manière d'un chapeau blanc et a exposé la vulnérabilité avec l'aide de quelques collègues, s'est simplement connecté au compte fraîchement piraté depuis son propre mobile, en utilisant le mot de passe nouvellement changé et l'e-mail. adresse et c'était tout - le compte était à lui à sa guise.
Hunt a en fait déclaré que la vulnérabilité faisait partie des «techniques de prise de contrôle de compte les plus élémentaires» qu'il ait jamais rencontrées au cours de ses années de travail. Heureusement, après quelques premiers obstacles à contacter les représentants de Grindr sur Twitter et à créer un peu d'agitation avec un tweet public sur la vulnérabilité, Hunt a réussi à entrer en contact avec l'équipe de sécurité de la plate-forme. La vulnérabilité a depuis été corrigée par les développeurs de Grindr.
Grindr entre avec un correctif
Les représentants de Grindr ont déclaré que le problème avait été découvert et corrigé avant que les mauvais acteurs ne puissent en abuser. La plateforme sociale a en outre annoncé son intention de lancer un nouveau programme de primes de chasse aux insectes dans un avenir prévisible.
Cet incident montre que parfois, quelle que soit la sécurité de votre mot de passe et quel que soit votre investissement dans votre cybersécurité personnelle, parfois le sort de vos informations et de vos comptes n'est tout simplement pas entre vos mains et vous ne pouvez pas faire grand-chose contre un vecteur d'attaque similaire à celui découvert avec la vulnérabilité de Grindr.
Bien sûr, cela ne signifie pas que vous devez être négligent ou imprudent. Dans des attaques similaires qui n'impliquent en aucune façon l'utilisateur, votre meilleur pari est d'utiliser l'authentification à deux facteurs d'une plate-forme et de sécuriser votre compte avec elle dès qu'elle devient disponible, si ce n'est déjà fait.
