Grindr accounts waren lange tijd eenvoudig te hacken
Het is lange tijd kinderlijk eenvoudig geweest voor hackers om de accounts en profielen van alle leden op Grindr over te nemen. Dat heeft een anonieme beveiligsingsonderzoeker deze week naar buiten gebracht. Zelfs mensen zonder technische kennis waren daardoor in staat om het wachtwoord van een Grindr lid te resetten en zo het gehele account over te nemen. Inmiddels is het lek gedicht.
Functie om wachtwoord te resetten
Vrijwel elke website of app die gebruik maakt van wachtwoorden om toegang te bieden tot een eigen account bevat ook de optie om dat wachtwoord te resetten. Je moet dan vaak je e-mailadres invoeren, waarna de dienst daar een e-mail naartoe stuurt. In die e-mail staat dan een link met een unieke resetcode erin. Door daar naartoe te gaan weet de website dat jij echt controle hebt over het e-mailadres en krijg je toestemming om een nieuw wachtwoord aan te maken.
Code per ongeluk zichtbaar
De grote fout die in bovenstaand proces door Grindr werd gemaakt, was het zichtbaar maken van de resetcode op de pagina waar je de e-mail kon laten versturen. Daardoor kon de stap met de e-mail zelfs in zijn geheel worden overgeslagen. Je voerde gewoon het e-mailadres in van het account dat je wilde overnemen, waarna je in de code van de webpagina de resetcode op kon zoeken. Door daar meteen in je browser naartoe te gaan kon je een nieuw wachtwoord invoeren en had je dus meteen de controle over het betreffende Grindr account.
Niet meteen gerepareerd
De onderzoeker die het probleem ontdekte heeft dat naar eigen zeggen meteen gemeld bij de mensen achter Grindr. Die meldden dat het volgens hen al was opgelost, terwijl dat volgens de onderzoeker helemaal niet het geval was. Toen na een week alle accounts nog steeds kwetsbaar bleken voor de hack ondernam de onderzoeker actie via een andere weg. Hij nam contact op met de webmaster van de website "Have i Been Pwned?", waar je op kunt zoeken of jouw accounts al eens gehackt zijn geweest. Toen die navraag ging doen bij Grindr werd het probleem daadwerkelijk binnen korte tijd verholpen.