Falla en Tinder deja las citas del usuario al descubierto
Tinder es una aplicación de citas con seis años de edad, que ya está disponible en alrededor de 25 idiomas, y tiene unos 20 millones de usuarios en 196 países.
Es una aplicación social que utiliza la georeferenciación para conectar a los usuarios con las persones más cercanas. El usuario sólo debe decidir si aprueba o no la persona cuando le aparece su foto.
Si la otra persona acepta, podrán comenzar a chatear. Hasta ahora esta decisión en teoría había sido privada pero, según un estudio de Checkmarx, hay dos fallos específicos que pueden irrumpir en la privacidad de los usuarios.
Tinder decidió no encriptar los datos de las fotos de perfil. Esto es, no utiliza ningún algoritmo o código para bloquear el acceso a terceras personas, un sistema que sí emplea Twitter o Facebook para sus mensajes.
Por lo contrario, en Tinder, si un usuario está utilizando una red publica a Internet, un hacker podría entrar y ver todas las fotos de perfil de esa cuenta.
Además podría ver si el usuario arrastra la foto de un candidato/a hacia la derecha, izquierda o arriba (el "super-like"). Este es un problema que ocurre tanto en Android como en sistemas iOS.
La vulnerabilidad de los fallos significa que un potencial atacante que utilice la misma red podría monitorear todos los movimientos de la cuenta a la que haya accedido. El contenido del chat no sería visible porque esta parte sí que está encriptada.
Más preocupante es el hecho de que el atacante no solo podría ver la cuenta del usuario sino que podría intercambiar fotos de perfil por otro tipo de contenido inapropiado o incluso publicidad.
Mientras que no existe riesgo de hackeo de cuentas financieras, el atacante sí que tiene la opción de chantaje o extorsión de publicitar todo el contenido personal de la cuenta.
La víctima sólo es vulnerable a este tipo de ataques siempre y cuando esté utilizando una red pública. Para prevenirlo, simplemente habría que utilizar una red privada. Sin embargo, en caso de utilizar una pública y sufrir un ataque, la víctima jamás podría saber que le están espiando.