Компания Google закрыла опасный пробел в системе восстановления доступа, который мог открыть персональные данные миллионов пользователей. Уязвимость позволяла получить номер телефона, прикреплённый к любому аккаунту, всего за несколько секунд — в зависимости от страны регистрации.
Сингапурский специалист в сфере цифровой безопасности, выступающий под псевдонимом Brutecat, поделился результатами проведённого анализа, в котором описал работу устаревшего варианта формы восстановления имени пользователя на сайте Google. Он указал, что именно через эту страницу, лишённую механизмов защиты от автоматических запросов, можно было перебирать возможные номера с высокой скоростью. Подчёркивается, что речь идёт о версии, в которой отключена поддержка JavaScript — это открывало простор для злоупотреблений.
Как пояснил Brutecat, схема взлома строилась поэтапно. Сначала хакер получал имя владельца аккаунта через сервис Looker Studio, создавая фиктивный документ и передавая жертве права доступа. Это позволяло выяснить, как пользователь подписан в системе. Затем злоумышленник запускал стандартную процедуру восстановления доступа к почте. Система показывала частично замаскированный номер телефона, демонстрируя лишь последние цифры. Финальный шаг — подбор недостающих цифр — осуществлялся на той самой уязвимой странице, с обходом CAPTCHA.
Такой механизм давал возможность за считаные секунды узнать привязанный номер, если речь шла о сингапурских номерах. Для номеров в США требовалось около 20 минут. Как отметил исследователь, успешная реализация схемы зависела от длины телефонного номера и региона, но в целом атака работала эффективно.
В отчёте подчёркивается, что через этот путь хакеры могли деанонимизировать пользователей, получить доступ к их отображаемым именам и точным номерам телефонов. Кроме того, использование функции восстановления пароля позволяла уточнить код страны, что дополнительно упрощало атаку.
В ответ на опубликованные материалы компания Google оперативно устранила уязвимость. Представители корпорации не прокомментировали, сколько времени страница оставалась без защиты и пострадали ли реальные пользователи от возможных атак.
Оригинал публикации на сайте CISOCLUB: "Обнаружена уязвимость, позволяющая выявить номера телефонов, привязанные к любому аккаунту Google".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.