Dating app Raw слил данные пользователей в открытый доступ

Приложение для знакомств Raw позиционировало себя как защищённое (end-to-end шифрование и всё такое), но на деле вывалило предпочтения и точные геоданные пользователей в открытый интернет. 🤦‍♂️🔓 Теперь все знают, кто кого ищет и где именно. Пруфы внутри!

Технический обзор инцидента

Dating-приложение Raw, позиционирующее себя как платформа для «более искренних знакомств», подвергло риску конфиденциальность своих пользователей из-за критической уязвимости безопасности. Технический анализ TechCrunch выявил публичную экспозицию:

• Персональных данных (отображаемые имена, даты рождения)
• Интимных предпочтений пользователей
• Точных геокоординат с точностью до улицы

Архитектура уязвимости

Технические детали эксплойта

Уязвимость класса Insecure Direct Object Reference (IDOR) позволяла получать данные любого пользователя через незащищённый API-эндпоинт:

GET api.raw.app/users/[11-значный_ID]

Ключевые проблемы безопасности:

1. Отсутствие проверок авторизации
2. Неправильная реализация контроля доступа
3. Ложные заявления о end-to-end шифровании

Методология обнаружения

TechCrunch использовал:

1. Виртуальное Android-устройство с поддельными данными
2. Инструменты анализа сетевого трафика (Wireshark/Charles Proxy)
3. Геолокацию с точностью до 3 метров (музей в Маунтин-Вью)

Технические последствия

Реакция компании

• Уязвимость устранена через 24 часа после уведомления
• Отказ от независимого аудита безопасности
• Неясность сроков экспозиции данных
• Двусмысленные формулировки о шифровании:

  «Используем шифрование при передаче и контроль доступа»

Экспертная оценка

Рекомендации для CISO:

1. Обязательный pentest для API-интерфейсов
2. Реализация Zero Trust Architecture
3. Регулярные IDOR-тесты в CI/CD

Прогноз: С учётом планов выпуска носимого устройства Raw Ring (мониторинг ЧСС партнёра) риски эмоционального шпионажа и злоупотреблений возрастают экспоненциально.