اكتشف باحث أمني مؤخرًا ثغرة أمنية في تطبيق المواعدة الشهيرة Bumble تتيح للمهاجم بالوصول إلى مواقع المستخدمين الدقيقة.
حيث اكتشف روبرت هيتون، الذي يعمل مهندس برمجيات في شركة المدفوعات Stripe، الثغرة الأمنية في تطبيق المواعدة ثم شرع في تطوير وتنفيذ هجوم “ثلاثي الأبعاد” لاختبار النتائج التي توصل إليها والتي شرحها بالتفصيل في منشور جديد.
إذا تم استغلال الثغرة الأمنية التي اكتشفها هيتون من قبل أحد المهاجمين، فيمكنهم استخدام تطبيق وخدمة Bumble لاكتشاف عنوان منزل الضحايا وكذلك تتبع تحركاتهم في العالم الحقيقي إلى حد ما. ومع ذلك، نظرًا لأن Bumble لا يقوم بتحديث موقع مستخدميه كثيرًا في تطبيقه، فإنه لن يوفر للمهاجم موجزًا مباشرًا لموقع الضحية.
ولا يحتاج مستخدمو Bumble للقلق على الرغم من أن هيتون أبلغ الشركة عن النتائج التي توصل إليها عبر HackerOne وبعد ذلك قامت بتصحيح الثغرة الأمنية بعد ثلاثة أيام فقط. لجهوده، تلقى هيتون مكافأة مالية بقيمة 2000 دولار.
اقرأ أيضًا: تيندر سوف يحذرك قبل إرسال أي رسالة غير لائقة
ثغرة تطبيق Bumble
أثناء بحثه حول تتبع الموقع في Bumble، أنشأ هيتون نصًا آليًا يرسل سلسلة من الطلبات إلى خوادم الشركة. نقلت هذه الطلبات مرارًا وتكرارًا “المهاجم” قبل طلب المسافة إلى الضحية.
وفقًا لهيتون، إذا تمكن المهاجم من العثور على النقطة التي تقلب عندها المسافة المبلغ عنها لمستخدم Bumble آخر من 3 أميال إلى 4 أميال، فيمكنه عندئذٍ استنتاج أن هذه هي النقطة التي تكون فيها ضحيته على بعد 3.5 ميلًا بالضبط.
وبعد العثور على ما يسمى بـ “نقاط التقليب”، سيكون لدى المهاجم بعد ذلك ثلاث مسافات محددة لضحيته مما يجعل تحديد الموقع الدقيق ممكنًا.
بالإضافة إلى ذلك، تمكن هيتون من محاكاة طلبات “الموافقة” في تطبيق Bumble على أي شخص أعلن أيضًا عن اهتمامه بملف تعريف دون دفع رسوم قدرها 1.99 دولارًا عن طريق التحايل على عمليات التحقق من التوقيع لطلبات واجهة برمجة التطبيقات.
قام Bumble منذ ذلك الحين بإصلاح الثغرة الأمنية التي اكتشفها هيتون، لكن يجب على الأفراد الذين يستخدمون تطبيقات المواعدة عبر الإنترنت بشكل متكرر التفكير أيضًا في تثبيت VPN على هواتفهم الذكية لتجنب التتبع غير المرغوب فيه عبر الإنترنت وفي حالتنا هذه، في العالم الحقيقي.
