A empresa de brinquedos sexuais Lovense está no centro de uma polêmica de segurança após a descoberta de uma falha que expõe os endereços de e-mail de seus usuários e possibilita a invasão de contas sem a necessidade de senha. A vulnerabilidade, revelada pelo pesquisador de segurança BobDaHacker, já havia sido reportada à empresa em 2023, mas aparentemente não foi corrigida de forma eficaz.
O problema reside na forma como a Lovense lida com os nomes de usuário. Segundo o pesquisador, é possível transformar qualquer nome de usuário em seu respectivo endereço de e-mail através de uma manipulação da API da plataforma. Essa falha se torna particularmente grave para modelos de webcam que utilizam a Lovense para trabalho e compartilham seus nomes de usuário publicamente. Com o endereço de e-mail em mãos, um invasor pode gerar tokens de autenticação que permitem o acesso irrestrito à conta, inclusive através de extensões do Chrome, aplicativos como o Lovense Connect, e softwares como o Cam101 e StreamMaster. Até mesmo contas de administrador estariam vulneráveis.
Apesar de ter recebido um pagamento de US$3.000 através da plataforma HackerOne pela identificação da falha, BobDaHacker afirma que a Lovense não corrigiu o problema de forma completa. Inicialmente, a empresa alegou ter resolvido a questão do controle de contas em maio, mas o pesquisador demonstrou que a vulnerabilidade persistia. Quanto à exposição dos e-mails, a Lovense informou que a correção poderia levar até 14 meses, pois uma solução mais rápida exigiria que todos os usuários atualizassem seus aplicativos imediatamente, o que poderia interromper o suporte a versões mais antigas. Este não é o primeiro incidente de privacidade envolvendo a Lovense. Em 2017, foi descoberto que o aplicativo gravava áudio dos usuários sem consentimento, armazenando as gravações em seus telefones. Na época, a empresa classificou o problema como um “pequeno bug de software” e afirmou que havia sido corrigido em uma atualização.
Origem: Link
