Usikre datingapps: På date med hackere

I takt med at datingapps stiger i popularitet, finder flere cyberkriminelle også vej til online mødestederne. En analyse fra it-sikkerhedsvirksomheden Kaspersky Lab har kortlagt en række sårbarheder i en række af de populære datingapps. Konklusionen er klar; der er plads til forbedring

Dansk Statistik har udgivet en rapport, som viser, at 320.000 danskere aktivt bruger forskellige online datingportaler. Og for mange danskere er datingapps som Tinder og Happn blevet en hurtig og overskuelig vej til at få landet den første date. Kaspersky Lab har analyseret de mest populære datingapps for at finde ud af, hvor modstandsdygtige de er over for hackere. Det viser sig, at der er flere funktioner og sårbarheder, som kan få negative konsekvenser for brugerne.

Når hackeren læser med over skulderen

Analysen viser, at den loginmetode, som størstedelen af datingapps bruger, udgør en sikkerhedstrussel.  Man registrerer sig med en adgangstoken via f.eks. Facebook, så datingappen kan indsamle informationer om brugeren og verificere identiteten. Problemet er, at de adgangstokens ofte bliver opbevaret og brugt usikkert. Derfor kan cyberkriminelle eller andre med ondt i sinde let stjæle dem fra datingappen og få uretmæssig adgang til brugerkonti. Her kan de følge med i, hvad der foregår – og endda sende beskeder fra kontoen.

Cyberkriminelle kan også få fat i informationer om et offer uden at få adgang til selve kontoen på datingappen. Hackere kan indfange de data, som bliver sendt mellem appen og serveren via såkaldte man-in-the-middle-angreb. Analysen viser, at mange datingapps ikke krypterer data, så den er fuldt ud tilgængelig for hackerne. Eksempelvis krypterer Tinder ikke billeder. En anden, ny undersøgelse fra Kaspersky Lab viser, at mere end hver 10. danske datingappbruger har delt billeder af sig selv uden tøj på. De billeder kan således potentielt være havnet i en ubuden gæsts besiddelse.

Datingapps gør stalking nemt

Mange mobile datingapps er afhængige af brugernes lokation, så de kan se afstanden til en potentiel date og sikre sig, at de er i nærheden. Men en cyberkriminel kan også få glæde af funktionen og udnytte den til at identificere et offers præcise placering. De kan skrive et stykke kode, som giver dem mulighed for at spore offeret i realtid. Konsekvensen er dels, at indbrudstyve kan finde ud af, hvornår deres offer er hjemmefra. Og dels, at eventuelle stalkere altid kan lokalisere deres ofre.

Stalkere og svindlere kan også finde en lang række andre informationer om deres ofre via datingapps. Selvom hverken Tinder eller Happn viser brugernes fulde navne, er det relativt nemt at finde det og få adgang til andre personlige informationer. Især når brugerne oplyser mere end fornavn, alder og billede på deres profiler. En kriminel, som kan se sit offers arbejdsplads, kan for eksempel sætte informationen i relation til fornavnet og finde frem til det fulde navn. Med det fulde navn kan en kriminel finde frem til yderligere informationer om offeret – blandt andet via andre sociale medier.

“Sårbarhederne i datingapps giver cyberkriminelle en rækker værktøjer, de kan bruge til afpresning, stalking og andre lyssky aktiviteter. Derfor bør de danske brugere af datingapps få øjnene op for sårbarhederne og tænke over, hvordan de bruger de her apps. Datingapps er alt andet lige noget, man bruger på et meget personligt niveau. Man skal tænke over, hvilken information man vælger at dele via appen – både på sin profil og i beskeder til potentielle dates,” siger Leif Jensen, adm. direktør for Kaspersky Lab i Norden.

Indeks over sårbarhederne i datingapps

Placering — identificering af brugerens placering (“+” – muligt, “-” – ikke muligt)

Stalking — identificering af brugerens fulde navn og deres konti på andre sociale medier (procentdel af identificerede brugere)

HTTP — opfangelse af data fra appen sendt ukrypteret (“Nej” – kunne ikke finde data, “Lav” – ufarlig data, “Mellem” – data, som kan være farlig, “Høj” – opfanget data, som kan bruges til at overtage konto)

HTTPS — opfangelse af data transmitteret gennem en krypteres forbindelse (“+” – muligt, “-” ikke muligt)

Beskeder — adgang til brugerens beskeder via uretmæssig adgang (“+” – muligt, “-” ikke muligt).

Token — muligt at stjæle adgangstoken via uretmæssig adgang (“+” – muligt, “-” – ikke muligt).

Om undersøgelsen

Kaspersky Lab har i undersøgelsen Dangerous liaisons: is everyone doing it online? analyseret de mest populære datingapps for at finde ud af, hvor modstandsdygtige de er over for hackere. Undersøgelsen er lavet blandt 6.458 brugere af online dating tjenester fra 30 lande.

- lb

18/2 2018