Любовь, баги и утечки: как Lovense сливал почты пользователей

Компания Lovense, известная своими секс-гаджетами с интернет-подключением, оставила почтовые адреса своих пользователей открытыми для доступа посторонних. Даже когда их уведомили об уязвимости, они не спешили её устранять. По словам исследователя безопасности под псевдонимом BobDaHacker, он обнаружил возможность превращать любой логин пользователя в его почтовый адрес — а затем использовать этот e-mail для захвата чужого аккаунта.

BobDaHacker сообщил об этом «дыре» ещё в марте. Однако компания отреагировала крайне неторопливо: по утверждению исследователя, Lovense даже спустя месяцы не решила проблему полностью. Напомним, Lovense уже не впервые попадает в подобные истории: в 2017 году аналогичное приложение накрыл«небольшой баг», который приводил к записи сексуальных сессий пользователей.

В этот раз всё началось с того, что BobDaHacker обнаружил подозрительную активность при отключении звука пользователей: приложение зачем-то раскрывает их e-mail. Через изменённый запрос к серверу он сумел получить любой почтовый адрес, связанный с логином.

Чтобы никому не было скучно, BobDaHacker разработал скрипт, синтезирующий e-mail из логина всего за секунду. Особенно весело это для тех, кто публично выкладывает свои юзернеймы, как, например, профессиональные вебкам-модели — а вот делиться личной почтой им явно не хочется. Но беда пришла не одна: оказалось, что помимо e-mail, можно было и вовсе перехватить управление чужим аккаунтом, используя адрес и токен аутентификации.

Об уязвимостях BobDaHacker сообщил совместно с организацией Internet of Dongs, которая заботится о кибербезопасности секс-игрушек. Как уверяет исследователь, Lovense не спешила чинить проблему. Компания позже заявила, что исправила баг с захватом аккаунта в апреле (исследователь уверен в обратном), а дыру с e-mail пообещала закрыть… через 14 месяцев. Быстрый, «месячный» патч, по версии Lovense, мог бы отрезать поддержку старых устройств и заставить всех срочно перейти на новую версию приложения.

Но на этом комедия не заканчивается: подобную уязвимость ещё в 2023 году другие специалисты докладывали Lovense — тогда баг признали закрытым, но, судя по всему, только на бумаге.

Сейчас Lovense утверждает, что отправила новое обновление с исправлениями в магазины приложений. По их словам, все пользователи получат его в течение недели. На вопросы других СМИ компания предпочла не отвечать.