Mes informations des utilisateurs de l’application de rencontre OkCupid en danger ?
Securite : Comme l’a releve J’ai agence Check Point, l’application de rencontre OkCupid contient une faille de securite mettant en danger les donnees de ses utilisateurs. Un probleme d’ores et deja resolu, explique la plateforme.
Des chercheurs une societe de cybersecurite Check Point viennent de reperer un moyen Afin de des pirates de piller les informations sensibles des utilisateurs une celebre application de rencontre OkCupid. Une decouverte consequente aussi que celle-ci a accueilli environ 50 millions d’utilisateurs enregistres depuis le lancement. Elle s’impose de nos jours down dating chat comme l’une des leaders du secteur des applications de rencontre, a toutes les cotes de concurrents comme Tinder, Match ou Grindr. L’application conduit a l’organisation d’environ 50 000 rencontres par semaine.
Pourtant, alors que les applications de rencontre connaissent une forte augmentation de leur nombre d’utilisateurs, celles-ci ont commence a revoir le fonctionnement de leurs plateformes. Et OkCupid n’a gui?re fait exception a une telle regle. Notre plateforme de rencontre a en effet enregistre une augmentation de 20 % des conversations partout dans le monde et une augmentation de 10 % des rencontres depuis le debut des mesures de confinement imposees par la crise sanitaire actuelle.
Reste qu’avec l’elargissement d’une base d’utilisateurs, nos precisions personnelles paraissent exposees a un risque supplementaire lorsque sa marketing n’est gui?re a la hauteur. Et cela pourrait etre l’eventualite avec OkCupid, comme l’a releve ce mercredi la societe de cybersecurite Check Point, qui a revele un ensemble de vulnerabilites pouvant conduire a l’exposition de precisions de profil sensibles sur l’application, au detournement de comptes d’utilisateurs mais aussi au vol de jetons d’authentification, d’identifiants et d’adresses electroniques des utilisateurs.
Les cookies a la rescousse
Notre version concernee par cette decouverte reste la 40.3.1, sur Android 6.0.1. Mes chercheurs en cybersecurite ont procede a l’ingenierie inverse du logiciel mobile et ont decouvert la fonctionnalite de “lien profond”, qui permet aux attaquants d’envoyer des liens personnalises et malveillants pour ouvrir l’application mobile. Resultat des courses : un attaquant pourrait envoyer une requete HTTP GET et une charge utile XSS a partir de son propre serveur, dont le JavaScript pourrait ensuite etre execute via WebView.
Si une victime clique sur votre lien elabore – potentiellement envoye personnellement avec l’application ou poste dans votre forum public – les IIP, les donnees de profil, les caracteristiques de l’utilisateur – tel celles soumises au cours d’une composition des profils – les preferences, nos adresses electroniques, les ID et les jetons d’authentification pourraient l’ensemble de etre compromis et exfiltres vers le serveur de commande et de controle de l’attaquant (C2).
Comme les vulnerabilites pourraient etre employees Afin de voler des identifiants et des jetons, i§a pourrait egalement conduire nos attaquants a executer des actions en leur nom, comme l’envoi de messages. Cependant, une prise de controle complete du compte n’est jamais possible, en raison des protections existantes contre des cookies.
Probleme resolu d’apri?s OkCupid
Check Point a egalement decouvert une politique de partage de ressources entre origines (CORS) en gali?re configuree dans le serveur API de api.OkCupid.com, permettant a toute origine d’envoyer des requetes au serveur et de lire les reponses.
D’autres attaques pourraient conduire au filtrage des informations des utilisateurs a partir du point final de l’API de profil. Si le vol d’informations soumises a une application de rencontre pourra ne pas sembler si important, la richesse des donnees personnelles aussi recoltees par des agresseurs pourrait etre utilisee dans des tentatives d’ingenierie sociale, entrainant des consequences bien plus nefastes.
« L’application et la plateforme ont ete creees pour rapprocher les individus, mais evidemment, la ou les mecs vont, des criminels nos suivront, a J’ai recherche de proies faciles », ont De quelle fai§one des chercheurs. Check Point Research a informe OkCupid de ses conclusions et les problemes de securite paraissent dorenavant resolus.
« Manque un seul utilisateur n’a ete touche par la vulnerabilite potentielle d’OkCupid, ainsi, nous avons pu la corriger en 48 heures », rassure la societe editrice de la plateforme. « Nous sommes reconnaissants a des partenaires comme Checkpoint qui, avec OkCupid, ont fera passer la securite et notre vie privee de nos utilisateurs en premier », a egalement tenu a indiquer la direction d’une plateforme.