){kind=small}
Um pesquisador de segurança descobriu uma falha perigosa no app de brinquedos sexuais da marca Lovense, popular com seus vibradores e dildos. A falha, caso explorada por atores maliciosos, pode expor dados pessoais de usuários, como endereços de email, e gerar ataques de doxxing e assédio, mas já está em processo de correção.
O problema foi encontrado pelo hacker ético BobDaHacker, que ao utilizar um dos aparelhos da Lovense por meio do aplicativo, encontrou um endereço de email. Bastou investigar um pouco mais para entender que era uma tarefa simples transformar qualquer nome de usuário da plataforma em um email válido, utilizado pelos clientes.
Nossos vídeos em destaque
Além de encontrarem os emails, foi descoberta uma vulnerabilidade crítica que ao usar esse endereço eletrônico, golpistas poderiam se passar por contas já existentes na Lovense. Dessa forma, os fraudadores conseguiriam acessar apps da empresa, como o StreamMaster, Lovense Connect e Cam101, para então se conectar em perfis de usuários no OnlyFans, Chaturbate, fansly, etc.
)
Como essa brecha funciona?
A metodologia para encontrar emails na plataforma era relativamente simples, por meio de uma solicitação POST à API /api/wear/genGtoken, que então geraria um gtoken (token de autentificação). O atacante pega qualquer nome de usuário conhecido e envia novamente para a API.
O servidor retorna ao golpista um endereço de email falso usado pela Lovense, e basta que o atacante converta esse endereço para um JID falso, como “tecmundo@dominio.com”. Depois, o fraudador adiciona esse JID em sua lista de contatos, e ao atualizá-la, recebe o email verdadeiro do usuário.
- O site especializado Bleeping Computer realizou esse teste com BobdDaHacker, que confirmaram o processo e a possibilidade na obtenção desse dado;
- As duas brechas foram sinalizadas para a Lovense em 26 de março, e na ocasião revelou que já trabalhava para corrigir os problemas;
- Em quatro de junho, a empresa disse ter resolvido a situação, mas pesquisadores alegaram que a vulnerabilidade persistia.
Ao ser criticada por quem descobriu essas falhas, a Lovense comentou em nota recente que enviou as devidas correções para as lojas de aplicativos. “A atualização completa deverá ser disponibilizada a todos os usuários na próxima semana. Assim que todos os usuários atualizarem para a nova versão e desativarmos as versões mais antigas, esse problema será completamente resolvido”, explicou a empresa.
Para mais informações sobre segurança e brinquedos diferentes, fique ligado no site do TecMundo.
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
