Удаленные знакомства: кому мы доверяем свои данные

Пандемия и связанные с ней ограничения привели к росту популярности приложений для знакомств. Например, в Tinder общее количество свайпов за последний год увеличилось на 11%, а их количество за один день уже в марте 2020-го впервые преодолело отметку в 3 миллиарда. Это неудивительно, учитывая, что значительная часть заведений, где можно провести время и познакомиться с новыми людьми, неоднократно закрывалась в 2020-м и начале 2021 года.

С увеличением активности пользователей в приложениях для знакомств могут возрасти и связанные с ними риски. В частности, пользователи могут столкнуться со следующими угрозами:

• Идентификация личности пользователя третьими лицами. Посторонние могут получить доступ к персональным данным пользователя, в том числе к его настоящему имени, информации о месте проживания, работы или учебы, и впоследствии использовать их для сталкинга или доксинга.
• Кража данных для входа в аккаунт.
• Мошенничество. К наиболее популярным мошенническим схемам относятся просьбы под различными предлогами перевести деньги, просьбы прислать интимные фото с последующим шантажом в случае успеха, а также отправка ссылок на фишинговые сайты с формой ввода данных банковской карты.

Вероятность стать жертвой упомянутых угроз во многом зависит от того, какие меры безопасности реализованы в приложении и какие уязвимости в нем присутствуют. В 2017 году мы изучили девять популярных приложений для знакомств и получили следующие результаты:

• Шесть сервисов позволяли узнать местоположение пользователя.
• Четыре сервиса позволяли узнать настоящее имя пользователя и найти его аккаунты в других социальных сетях.
• Четыре сервиса позволяли перехватить отправляемые приложением данные, которые могли содержать чувствительную информацию.

Мы решили проверить, изменилась ли ситуация в 2021 году. Для этого мы отобрали приложения с наибольшим количеством пользователей по всему миру, а также те, которые получили высокую оценку в публикациях таких изданий, как CNET, PC Mag и Tom’s Guide. В итоговую выборку вошли как универсальные приложения, так и приложения для знакомств с конкретной целью (ЛГБТ, полиаморные отношения и т. д.).

• Tinder — одно из наиболее популярных приложений для знакомств в мире. Более 100 млн установок из Google Play.
• OkCupid — более 10 млн установок из Google Play.
• Badoo — еще одно очень популярное приложение для знакомств. Более 100 млн установок из Google Play.
• Bumble — приложение, в котором инициатива предоставлена женщинам. Более 10 млн установок из Google Play и 42 млн активных пользователей в месяц по данным за третий квартал 2020 года.
• Mamba — более 10 млн установок с Google Play.
• Pure — приложение для быстрых и анонимных знакомств. Более 1 млн установок из Google Play.
• Feeld — приложение, позволяющее искать партнеров для полиаморных связей. Более 1 млн установок из Google Play.
• Happn — приложение для знакомств со случайными встречными. Более 50 млн установок из Google Play.
• Her — приложение для знакомств, ориентированное на женщин ЛГБТ+. Более 1 млн установок из Google Play.

Регистрация аккаунта

Для регистрации в большинстве исследованных приложений необходимо предоставить номер телефона: на него приходит SMS с кодом подтверждения. При этом аккаунты, зарегистрированные на номера, которые предоставляют бесплатные онлайн-сервисы для получения SMS, достаточно оперативно банят, что несколько затрудняет создание поддельных профилей.

Все сервисы, кроме Pure, предоставляют также возможность регистрации с помощью  аккаунта в Facebook или другой социальной сети. Некоторые приложения в этом случае не запрашивают верификацию по номеру телефона, если дата регистрации, количество друзей и другие параметры аккаунта в социальной сети не вызывают у сервиса подозрений.

При этом в случае регистрации через Facebook в большинстве приложений по умолчанию в анкету добавляются все фото профиля со страницы Facebook.

Способы авторизации в Mamba

В большинстве рассмотренных сервисов при желании можно указать место учебы и работы, а также привязать профили Instagram и Spotify – в этом случае в аккаунт будут подтягиваться последние фото и любимая музыка. Прямых способов вычислить аккаунты пользователя в социальных сетях, в том числе привязанные к учетной записи в приложении, нет, однако часто указанных в профиле данных, таких как имя, возраст, фото и информация об учебе и работе, достаточно, чтобы найти человека на других ресурсах.

Дальше злоумышленник может собрать много разнообразной личной информации (в том числе домашние адреса и личные фотографии) о пользователях, которые недостаточно строго настроили конфиденциальность своих аккаунтов в социальных сетях, а затем использовать эти сведения для сталкинга и доксинга (публикации конфиденциальной информации о человеке с целью опозорить его или иным образом ему навредить).

Определение местоположения пользователя

Mamba, Badoo, OkCupid, Pure и Feeld не требуют обязательного предоставления доступа к данным о местоположении. Вместо этого можно вручную задать населенный пункт для поиска анкет. Если приложение все же получает доступ к GPS, чтобы определить, кто находится поблизости, оно показывает примерное расстояние до других пользователей. Разные сервисы вычисляют расстояние с разной точностью. Меньше всего погрешность в приложении Mamba, которое показывает расстояние с точностью до одного метра. При этом сервис позволяет подменить свои GPS-координаты с помощью сторонних программ. Этим могут воспользоваться злоумышленники, чтобы, «перемещаясь» по карте, вычислить приблизительные координаты интересующего их человека.

Mamba: расстояние до пользователей с точностью до метра

Делается это следующим образом. Хотя приложение не показывает, в каком направлении от вас находится другой пользователь, расстояние до него позволяет очертить радиус поиска. Перемещаясь по карте в разных направлениях и каждый раз получая новую область поиска, злоумышленник может найти пересечение этих областей. Погрешность в измерениях не позволяет таким способом получить точные координаты, однако приблизительного местоположения может быть достаточно, чтобы попытаться, например, угадать место работы или учебы человека, что, в свою очередь, может помочь найти его аккаунт в других соцсетях или даже преследовать офлайн.

Для использования Tinder и Bumble обязательно нужно предоставить приложению доступ к геолокации. При этом оба сервиса пресекают попытки использования сторонних программ для подмены координат. В платных версиях можно изменять область поиска потенциальных партнеров, однако только на уровне региона. Соответственно, вычислить координаты других пользователей таким образом затруднительно.

Her разрешает задать местоположение самостоятельно только в платной версии, но позволяет подменять координаты с помощью сторонних приложений.

Happn также требует предоставить приложению доступ к местоположению и позволяет использовать сторонние программы для подмены координат. В приложении есть настройки приватности: можно скрыть расстояние от других пользователей, возраст и информацию о том, находится ли пользователь онлайн, однако эти опции доступны только в платной версии.

Кроме того, у Happn есть дополнительная функциональность: кроме расстояния до пользователя можно увидеть, сколько раз и в каких точках вы пересекались с этим человеком. Также приложение показывает, с кем вы пересекались чаще всего.

Список пользователей, с которыми было пересечение в заданной точке

Таким образом, не составляет труда вычислить людей, которые часто бывают в заданном месте (а значит, скорее всего, живут, работают или учатся там).

Неавторизованное использование фото и переписки

Среди рассмотренных сервисов единственным, кто предоставляет бесплатную опцию размытия фото профиля, оказалось приложение Mamba. Если воспользоваться этой опцией, фото в исходном качестве будет доступно только тем, кого одобрил владелец аккаунта.

В некоторых приложениях такая функция доступна, но только в платной версии.

При этом Pure – единственное приложение, позволяющее зарегистрировать аккаунт вообще без фото, а также запрещающее делать скриншоты переписок. Остальные приложения допускают сохранение скриншотов профилей и переписок, что может быть использовано для доксинга или шантажа.

Перехват трафика

Все рассматриваемые приложения используют защищенные протоколы передачи данных. При этом результаты противостояния атаке MITM с подменой сертификата стали намного лучше, чем по результатам прошлого исследования: при обнаружении стороннего сертификата приложения перестают обмениваться данными с сервером, а сервис Mamba даже показывает пользователю предупреждение.

Хранение данных на устройстве

Как и по результатам прошлого исследования, в большинстве приложений для Android переписка и кешированные фото хранятся на устройстве. Злоумышленник может получить к ним доступ с помощью RAT-троянца, если на устройстве есть права суперпользователя (root). Эти права может установить либо сам пользователь, либо троянец, эксплуатирующий уязвимости операционной системы.

Стоит отметить, что риск получения доступа к данным приложений на устройстве невелик, однако такой сценарий вполне возможен.

Пароли в открытом виде

Mamba и Badoo присылают письмо со сгенерированным паролем для входа в аккаунт в открытом виде. Это нельзя отнести к хорошим практикам в области безопасности, поскольку при отсутствии двухфакторной аутентификации злоумышленник, перехвативший письмо, получает доступ к аккаунту в приложении.

Раскрытие уязвимостей и bug bounty

Сейчас авторы дейтинговых приложений гораздо более ответственно относятся к безопасности, чем в 2017 году. Тогда мы обнаружили серьезные уязвимости в нескольких популярных приложениях. В 2021 году мы видим, что большинство разработчиков инвестируют в программы bug bounty (поиска уязвимостей за вознаграждение), чтобы повысить безопасность.

Больше всего открытой информации об обнаруженных и устраненных уязвимостях мы нашли у приложений Badoo и Bumble. Они же проводят общую программу bug bounty: https://hackerone.com/bumble. Аналогичные программы также есть у Tinder, Mamba и OkCupid.

Запуск программ раскрытия уязвимостей и bug bounty не всегда приводит к усилению безопасности приложения, однако является важным шагом для компаний в этом направлении, поскольку побуждает исследователей искать уязвимости в приложениях, а разработчиков – оперативно их устранять.

Выводы

Приложения для знакомств прочно вошли в нашу жизнь. Исследование Стэнфордского университета, проведенное еще в 2019 году, показало, что в США люди чаще всего находят себе пару через дейтинговые сервисы. А в пандемию случился настоящий бум онлайн-знакомств по всему миру. К счастью, по мере роста популярности таких приложений их разработчики уделяют все больше внимания безопасности — в частности, ее техническим аспектам. Если в 2017 году мы выяснили, что в четырех из девяти проанализированных приложений сообщения пользователей могли перехватить посторонние, то в 2021 году видим, что во всех девяти используются защищенные протоколы передачи данных.

Однако приложения для знакомств остаются источником массы информации о пользователях: они позволяют определить точное или приблизительное местонахождение, найти страницы в социальных сетях (со всеми размещенными на них данными), получить фотографии и сообщения из чатов. Доступ к таким объемам личной информации делает пользователей уязвимыми. Возникает риск не только раскрыть подробности частной жизни перед теми, кому их знать не нужно, но и подвергнуться доксингу или киберсталкингу. К сожалению, не всех рисков можно избежать. Например, многие приложения основаны на поиске потенциальных партнеров поблизости, поэтому ваше местонахождение необходимо для их работы.

Тем не менее, за последние несколько лет ситуация значительно улучшилась. Разработчики дейтинговых приложений все больше задумываются о безопасности данных пользователей. Если они продолжат двигаться в этом направлении, то рано или поздно знакомства в интернете станут значительно более безопасными, чем сейчас.

• Появится возможность скрывать фотографии и местонахождение от потенциальных партнеров.
• Проверку будут проходить не только фотографии, но и учетные записи в целом, чтобы вы наверняка знали, что по ту сторону экрана — добропорядочный гражданин, который рассказывает о себе правду.
• Пользователи смогут запрещать делать снимки экрана с профилем или сообщениями в любом приложении, причем бесплатно.
• Пользователи смогут удалять чаты.
• Приложения будут предупреждать новых пользователей о рисках, возникающих, если раскрывать слишком много информации о себе.
• Разработчики приложений будут использовать искусственный интеллект, чтобы защищать пользователей от мошенничества и публикации оскорбительных материалов или конфиденциальной информации.

Что касается текущего положения вещей, то вот несколько рекомендаций, как обезопасить себя при знакомстве онлайн:

• Не публикуйте подробные сведения о себе (фамилию, место работы, фотографии с друзьями, политические взгляды и т. п.).
• По возможности указывайте местонахождение вручную.
• Используйте двухфакторную аутентификацию.
• Удаляйте или скрывайте профиль, если больше не используете дейтинговое приложение.