Meretas akun Grindr lewat fitur reset kata sandi

• Grindr adalah SNS GBTQ terbesar di dunia, sehingga proses pendaftarannya sendiri merupakan isu privasi yang penting

• Cacat desain pada halaman reset kata sandi memungkinkan siapa pun melakukan reset dan login hanya dengan mengetahui alamat email orang lain

→ Saat meminta reset, kunci reset dapat dilihat di alat pengembang web. Dengan ini, siapa pun bisa melakukan reset

→ Dengan cara yang sama, jika hanya mengetahui alamat email orang lain, seseorang bisa membuat akun baru atas nama orang tersebut, mereset kata sandi, dan juga mengatur akun

• Orang yang menemukan masalah ini sudah memberi tahu pihak Grindr, tetapi karena tidak ada tanggapan, hal ini kemudian diberitahukan kepada Troy Hunt

→ Troy adalah pakar keamanan yang menjalankan HIBP (Have I Been Pwned), layanan yang memberi tahu apakah data pribadi pernah bocor

• Baru setelah Troy memublikasikan isi ini, Grindr memperbaiki masalah tersebut dan memberi tahu bahwa mereka akan menjalankan Bug Bounty

[xguru]

Flow reset kata sandi dan alur terkait akun bisa menjadi masalah besar jika tidak dirancang dengan benar.

Sepertinya bagus untuk memeriksa layanan masing-masing dengan melihat kasus seperti ini.