3Fun, een dating-app voor swingers en trio's, heeft privégegevens van gebruikers gelekt, waaronder foto's, real-time locatie, chatgesprekken, geboortedata en seksuele voorkeuren. Volgens securitybedrijf Pen Test Partners dat het datalek ontdekte heeft het niet eerder een dating-app gezien die zo slecht beveiligd was als 3Fun.

De dating-app claimt meer dan 1,5 miljoen gebruikers te hebben van wie de informatie eenvoudig te achterhalen was via de programmeerinterface (API). Een aanvaller zou op deze manier allerlei gevoelige gegevens van gebruikers kunnen opvragen. "Deze data is te gebruiken om gebruikers in bijna real-time te stalken en privéactiviteiten te openbaren of erger", zegt onderzoeker Alex Lomas. Ook blijkt de app privéfoto's van gebruikers te lekken, zelfs wanneer die de betreffende privacyinstellingen hebben ingesteld. De locatie van foto's werd gewoon in de API-responses meegegeven.

Lomas stelt dat er gebaseerd op de code van de app waarschijnlijk nog veel meer kwetsbaarheden aanwezig zijn, maar dat die nog niet zijn geverifieerd. Pen Test Partners waarschuwde de ontwikkelaar van 3Fun, waarna de kwetsbaarheid werd verholpen. Het is onbekend hoe lang de gegevens toegankelijk waren en of hier misbruik van is gemaakt.