29.07.2025
1 хв
547
Після виходу нашого матеріалу ми отримали офіційний лист від представника Lovense, у якому компанія запевняє, що всі ідентифіковані вразливості вже усунено, і на момент звернення немає жодних підтверджень витоку чи компрометації даних користувачів, зокрема електронних адрес або акаунтів. У листі Lovense також додає посилання на офіційну заяву CEO, яку ми додаємо нижче. Ми вважаємо за необхідне зазначити це як приклад прозорої та відповідальної реакції з боку компанії на інформаційні ризики.
У застосунку для інтимних пристроїв Lovense виявлено критичну zero-day уразливість, котра дозволяє зловмиснику дізнатися електронну адресу користувача, маючи лише його публічне ім’я. Це створює серйозні ризики доксингу, переслідування та витоку конфіденційних даних мільйонів людей.
Інтерактивні іграшки Lovense — популярні серед онлайн-моделей і віддалених партнерів, але їхня інтеграція з додатком стала вразливим місцем. Дослідник під псевдонімом BobDaHacker, разом із Eva та Rebane, виявили, що через XMPP-протокол можна отримати справжню електронну адресу будь-якого юзера, маючи лише його публічний нікнейм.
Атака працює просто: зловмисник отримує токен і ключі шифрування через офіційний API, шифрує будь-яке відоме ім’я користувача, відправляє запит на перевірку наявності акаунту — і сервер відповідає з адресою у форматі, з котрого легко розшифрувати email.
Сценарій автоматизується скриптом і виконується менше ніж за секунду, що відкриває шлях до масового збору емейлів — особливо вразливих, наприклад, у моделей з FanBerry або профілях на форумах.
Lovense — виробник інтимних пристроїв з дистанційним керуванням, з аудиторією понад 20 мільйонів. Застосунок дозволяє підключення через XMPP–чати, підписки, інші платформи. Подібні уразливості виявлялися й раніше: ще у 2016 році дослідники знаходили витоки емейлів та можливість перевірки наявності акаунтів.
Хоча баг був повідомлений компанії ще 26 березня 2025 року, повного виправлення дотепер не реалізовано. Lovense заявила, що потрібно ще 14 місяців, щоб не порушити сумісність із попередніми версіями застосунку. Тим часом дослідники протестували обіцяні виправлення — і підтвердили, що вони не працюють.
Попри популярність і технологічність продуктів Lovense, компанія вкотре показує, що комерційна зручність ставиться вище за безпеку юзерів. Навмисне зволікання з виправленням відомої уразливості свідчить про критичну нехтуваність приватністю. У часи, коли приватне легко стає публічним — це неприпустимо.
