Команда Nadiyno.org дослідила пʼять дейтинг-сервісів – Tinder, PURE, Bumble, Boo та Kismia – щоб зʼясувати, як вони працюють з конфіденційністю користувачів. Зʼясувалося, що жоден з них не пропонує повного базового набору сучасних механізмів кіберзахисту!

Павло Бєлоусов, технічний керівник та експерт із безпеки Nadiyno.org, у колонці для Scroll.media розповідає, що з цим не так та чим це небезпечно для користувачів в Україні.

Застосунки для онлайн-знайомств працюють з надчутливими типами даних у цифровій екосистемі: приватними повідомленнями, особистими фотографіями, історією взаємодій і геолокацією користувачів.

Враховуючи це, важливо, щоб користувачі розуміли принципи безпечної поведінки онлайн. Однак несуть відповідальність за безпеку й самі застосунки. Вона полягає в створенні онлайн-середовища, безпечного для конфіденційності даних користувачів. Йдеться не про публічні заяви чи політики конфіденційності компаній, а про конкретні технічні рішення: надійні механізми автентифікації та контролю доступу до акаунта, обліку та управління активними сесіями, обмеження збору даних і прозора робота з третіми сторонами.

Щоб з’ясувати, який рівень захисту даних забезпечують найпопулярніші в Україні застосунки для онлайн-знайомств, наша команда всеукраїнської безоплатної гарячої лінії з цифрової безпеки Nadiyno.org дослідила пʼять сервісів: Tinder, PURE, Bumble, Boo та Kismia. 

У межах аналізу застосунків для знайомств в Україні ми формували вибірку, поєднуючи публічні показники популярності та доходів на платформах iOS та Android, а також різноманіття екосистем – аби порівняти підходи до безпеки неповʼязаних сервісів. У відкритих аналітичних даних за 2023–2025 роки Tinder, Bumble, Pure та Kismia регулярно входять до числа найприбутковіших сервісів, а Boo набирає популярності серед молодшої аудиторії та посідає високі позиції в категорії безплатних завантажень. Badoo також стабільно присутній у топах, однак належить до тієї ж корпоративної групи, що й Bumble (Bumble Inc.), тому його включення призвело б до дублювання висновків.

Предметом аналізу застосунків став технічний захист даних, підходи до конфіденційності та безпека взаємодій і контенту. Наші висновки та практичні рекомендації — нижче.

Дослідження

Ключове відкриття дослідження – жоден із пʼяти досліджуваних сервісів не пропонує повного базового набору сучасних механізмів кіберзахисту: багатофакторної автентифікації, керування сесіями та верифікації документів користувачів.

• Повноцінна багатофакторна автентифікація (MFA) відсутня в усіх досліджуваних застосунках. У поєднанні з поширеною практикою повторного використання паролів це робить акаунти вразливими до атак «credential stuffing» — масового використання викрадених логінів і паролів. 

Фактично сервіси перекладають відповідальність за додатковий рівень захисту на сторонні платформи як Google та Facebook, через які користувачі можуть авторизуватися в «один клік». Однак потрібно розуміти, що більшість таких облікових записів були створені задовго до масового впровадження MFA. Як наслідок, у значної частини користувачів вона не увімкнена в цих сервісах. Таким чином, цей спосіб входу не забезпечує належний рівень захисту.

Для користувачів дейтинг-застосунків наслідки такого доступу є критичними: зловмисник отримує повний доступ до приватного листування, фотографій і персональних даних, які використовуються для шантажу, психологічного тиску або фінансового вимагання.

Водночас один із застосунків, Bumble, впровадив альтернативний механізм – «passkeys (вхід без пароля з підтвердженням через пристрій або біометрію). Це – позитивний крок, однак наразі функція залишається недостатньо поширеною серед користувачів.

• У всіх пʼяти застосунках відсутня й можливість керування сесіями. У разі витоку облікових даних або втрати доступу до пристрою користувачі не можуть примусово завершити активні сесії, що створює ризик збереження несанкціонованого доступу навіть після зміни пароля. Це становить додаткову загрозу для персональних даних і приватної комунікації.

На практиці це часто виглядає як втрата телефону або доступу до пошти, після чого акаунтом продовжують користуватися без відома власника. Через відсутність керування сесіями користувачі не мають інструментів, щоб перевірити активні входи або примусово припинити їх, і дізнаються про проблему лише з нових повідомлень чи змін у профілі.

• Ще один аспект — верифікація особи. У низці країн дейтинг-сервіси використовують підтвердження особи за допомогою офіційних документів (серед досліджуваних — Tinder та Bumble), що зменшує кількість фейкових акаунтів, шахрайств і атак соціальної інженерії. Водночас жоден із проаналізованих сервісів не використовує ці механізми в Україні, що залишає простір для зловживань і підвищує ризики для користувачів.

В українському контексті це призводить до широкого використання фейкових акаунтів – як для фінансового шантажу, так і для збору персональної інформації під виглядом знайомств. Існують випадки, коли такі акаунти випитують дані про місце проживання, роботу, військову службу або родинні звʼязки, що в умовах війни створює додаткові безпекові ризики.

Підсумки

• Загалом проведене дослідження показало, що рівень цифрової безпеки українського ринку онлайн-знайомств наразі є незадовільним. Йдеться не про окремі технічні недоліки, а про системну відсутність базових механізмів захисту, які мають бути стандартом для сервісів, що працюють із чутливими персональними даними. У такій ситуації ризики для користувачів — від зламів акаунтів до витоків приватної інформації — залишаються високими.

Щоб зменшити ризики під час онлайн-знайомств, команда Nadiyno.org радить увімкнути багатофакторну автентифікацію для акаунтів, через які відбувається вхід у застосунок, обмежити дозволи (камеру, мікрофон, точну геолокацію), користуватися фільтрами лише верифікованих профілів і не ділитися чутливою інформацією з незнайомцями. Також варто регулярно очищати переписки та перед зустріччю наживо проводити відеодзвінок безпосередньо через застосунок.

Водночас ці проблеми можна і потрібно вирішувати на рівні самих платформ. На основі аналізу команди ми також сформулювали рекомендації для розробників сервісів онлайн-знайомств, які дозволяють суттєво підвищити рівень безпеки та довіри до продукту.

Передусім йдеться про автентифікацію та контроль доступу. Впровадження MFA безпосередньо в самому сервісі та можливості прозорого керування активними сесіями мають стати базовими обовʼязковими функціями. Це зменшує ризики несанкціонованого доступу до акаунтів з боку зловмисників.

У більшості сучасних сервісів, що працюють із фінансовими або персональними даними, ці механізми вважаються базовим рівнем безпеки. Крім того, MFA та керування сесіями вже багато років входять до базових рекомендацій OWASP (Open Web Application Security Project, проєкт з підвищення рівня безпеки вебзастосунків) для захисту облікових записів у сервісах, що працюють із персональними даними.

Окремим важливим напрямом залишається верифікація користувачів. Наявність механізмів підтвердження особи — незалежно від конкретного інструменту — суттєво знижує кількість фейкових акаунтів. Для сервісів онлайн-знайомств це критично, адже відсутність верифікації створює сприятливе середовище для зловмисників, які можуть безперешкодно створювати нові профілі для скоєння кіберзлочинів.

Не менш важливою є українська локалізація сервісів. Якщо застосунок доступний українським користувачам, він має щонайменше забезпечувати й повноцінну українську версію центру безпеки. Це не лише покращує користувацький досвід, а й підвищує рівень довіри до сервісу, особливо в умовах повномасштабної війни.

Показово, що PURE, сервіс із загалом найвищими показниками безпеки серед досліджуваних і з нібито українським походженням, досі не має повноцінної української локалізації, а саме – центру безпеки українською мовою. Це обмежує доступ користувачів до важливої інформації й негативно впливає на рівень довіри, особливо в умовах повномасштабної війни.

Нарешті, ключовим чинником довіри залишається прозорість і відповідальність платформ. Регулярна публічна звітність щодо модерації, інцидентів безпеки та управління ризиками відповідає міжнародним практикам, зокрема вимогам DSA, і демонструє серйозне ставлення до захисту користувачів. У нинішніх умовах кібербезпека є не лише питанням якості сервісу, а й частиною національної безпеки.

Висновок

Ключові гравці на українському ринку дейтинг-сервісів залишається вразливим через відсутність ключових механізмів захисту, які давно є стандартом для цифрових платформ. Враховуючи загрози під час війни та високу чутливість даних, що зазвичай збирають зловмисники, це перетворює онлайн-знайомства на зону підвищеного ризику. Водночас дослідження показує, що більшість виявлених проблем не потребують складних чи експериментальних рішень — достатньо впровадити усталені практики безпеки та зробити захист даних і прозорість реальним пріоритетом.

Автор: Павло Бєлоусов, технічний керівник та експерт із безпеки Nadiyno.org