Er is een beveiligingsprobleem ontdekt bij Lovense, een van de grootste fabrikanten van seksspeeltjes ter wereld. Mailadressen van gebruikers konden eenvoudig worden achterhaald, waardoor cybercriminelen makkelijk toegang kregen tot de accounts. Hackers konden daardoor het account, en mogelijk ook het speeltje, op afstand beheren.

Lovense staat bekend om zijn op afstand bedienbare seksspeeltjes die bijvoorbeeld via je telefoon te bedienen zijn. De kwetsbaarheid is ontdekt door een ethisch hacker met de naam ‘BobDaHacker’. Hij ontdekte dat je met alleen een gebruikersnaam de bijbehorende mailadressen van andere gebruikers kon achterhalen. Ook was het mogelijk om in te loggen met alleen een mailadres en zonder wachtwoord.

Hoewel het niet expliciet is aangetoond dat de hacker daadwerkelijk de speeltjes van andere gebruikers bestuurde, is het op basis van de kwetsbaarheid technisch gezien wel mogelijk geweest. 

Beveiligingsprobleem al ontdekt in maart

BobDaHacker ontdekte het probleem al in maart 2025 en meldde het bij Lovense. Het bedrijf gaf aan dat het 14 maanden zou duren om het probleem te verhelpen. Een snellere oplossing binnen één maand zou wel mogelijk zijn, maar het bedrijf wilde gebruikers niet dwingen hun app te updaten. Dit zou de ondersteuning voor oudere versies verstoren. Tot 29 juli werden gebruikers niet geïnformeerd over de kwetsbaarheid. 

Zelfde probleem al in 2023 gemeld

Een andere ethisch hacker ontdekte dezelfde kwetsbaarheid al in september 2023. Lovense bestempelde het beveiligingsprobleem in eerste instantie als ‘hoog risico’, maar verlaagde de ernst van de situatie later naar ‘middelmatig’. Hun verklaring: "Deze pc-apps zijn verouderd, er zijn nog maar weinig camgebruikers die ze gebruiken."

Lovense beweerde dat het probleem was opgelost en betaalde de hacker slechts 350 dollar. In werkelijkheid bleef het beveiligingsprobleem actief tot juli 2025. 

Publieke druk

BobDaHacker besloot zijn bevindingen en de communicatie met Lovense te publiceren in een blogpost. Pas na publieke druk loste het bedrijf de kritieke kwetsbaarheden binnen twee dagen op. Dit was op 30 juli 2025. 

Het technologieplatform TechCrunch zocht eerder ook contact op met Lovense, maar kreeg geen reactie. Na de publicatie van het artikel over het probleem meldde een vertegenwoordiger van Lovense dat de bug met de accountovername ‘nu volledig is opgelost’. Ook zou de e-maillek via een update worden verholpen. Naar verwachting zou die update binnen een week naar alle gebruikers worden gestuurd. De vertegenwoordiger wilde niet beloven zijn klanten publiekelijk op de hoogte te stellen van de bugs, meldt TechChrunch op zijn website.

Gebruik je Lovesense? 

Hoewel de kwetsbaarheden inmiddels zijn opgelost, waarschuwt BobDaHacker: “Denk eens na over de vraag of je een bedrijf vertrouwt dat er vier maanden of langer over doet om kritieke bugs voor de helft op te lossen.” 

Ook adviseert hij om wegwerpmailadressen te gebruiken (voor deze app). Dat zijn tijdelijke mailadressen die je snel kunt aanmaken om je ergens te registreren zonder je echte mailadres te gebruiken. Ze zijn bedoeld om je privacy te beschermen, spam te voorkomen en je echte inbox veilig te houden.