Независимый исследователь в области кибербезопасности обнаружил критическую уязвимость в системе Google, которая позволяла всего за 20 минут узнать номер телефона, привязанный к аккаунту для восстановления. Об этом сообщает издание TechCrunch.
Уязвимость заключалась в использовании так называемой цепочки атак, состоящей из нескольких этапов. По данным TechCrunch, исследователь с ником Brutecat мог определить полное имя владельца аккаунта и обойти защиту от автоматизированных запросов. Затем он перебирал возможные комбинации телефонных номеров и находил правильный вариант. Журналисты TechCrunch проверили данный метод, создав новый аккаунт с ранее неиспользованным номером. После передачи только адреса электронной почты Brutecat за короткое время сообщил им точный номер телефона, связанный с аккаунтом.
Потенциально следующей стадией такой атаки мог бы стать SIM-своп — метод подмены SIM-карты, позволяющий злоумышленнику получить доступ к управлению номером телефона. Это в свою очередь открывает возможность сброса паролей для большинства сервисов.
По словам представителя компании Google Кимберли Самра, уязвимость была устранена в апреле после уведомления от исследователя. Компания поблагодарила Brutecat за сотрудничество и выплатила вознаграждение в размере 5000 долларов в рамках программы поощрения за найденные ошибки. На момент публикации статьи подтверждённых случаев использования данной уязвимости в реальных атаках не выявлено.