Uma falha grave no aplicativo da Lovense, fabricante de sex toys conectados à internet com mais de 20 milhões de usuários, expôs os endereços de email dos usuários e permitiu a invasão completa de contas, segundo um pesquisador de segurança conhecido como BobDaHacker. As vulnerabilidades, identificadas em março, ainda não foram totalmente corrigidas, segundo o pesquisador.
Exposição de emails por interação no app
A falha permitia que qualquer pessoa visualizasse os emails de outros usuários por meio de uma ferramenta de análise de rede. BobDaHacker descobriu o problema ao silenciar a conta de um ex-parceiro, o que revelou o email associado. Ele afirmou que, com um script, era possível automatizar o processo e obter emails em menos de um segundo, comprometendo potencialmente a privacidade de milhões de usuários, incluindo modelos de webcam que compartilham seus nomes de usuário publicamente.
Um teste conduzido pela TechCrunch confirmou a vulnerabilidade: o pesquisador identificou o email de uma nova conta em menos de um minuto.
Invasão de contas com apenas um email
Outra vulnerabilidade permitia que qualquer pessoa assumisse o controle de uma conta da Lovense apenas com o email do usuário, gerando tokens de autenticação válidos sem a necessidade de senha. “Modelos de webcam usam essas ferramentas para trabalho, então isso foi um grande problema. Literalmente qualquer pessoa poderia assumir qualquer conta apenas sabendo o email,” disse BobDaHacker.
Resposta da Lovense
A Lovense foi notificada das falhas em 26 de março por meio do projeto Internet of Dongs, que reporta vulnerabilidades em tecnologias de sex toys. A empresa pagou US$ 3.000 ao pesquisador via HackerOne como parte de um programa de recompensa por bugs. No entanto, a correção total da falha de exposição de emails pode levar até 14 meses, segundo a Lovense, para evitar a interrupção do suporte a dispositivos legados.
Em comunicado ao Bleeping Computer, a Lovense informou que uma atualização do aplicativo, abordando as vulnerabilidades mais recentes, foi enviada às lojas de aplicativos e deve ser disponibilizada a todos os usuários na próxima semana.
Fonte: Hindustan Times
