Bir güvenlik uzmanı, bilgisayar korsanlarının özel telefon numaralarına erişmek ve bunları kullanarak kullanıcılara saldırmak veya kimliklerini çalmak için kullanabilecekleri Google hesaplarında kritik bir güvenlik açığı olduğunu ortaya çıkardı.
Ciddi bir hata için Brutecat lakaplı bir araştırmacı Nisan ayında uyardı bu yıl. Ancak Google bunu ancak Mayıs ayında düzeltti. O zamanlar kullanıcıların telefon numaraları ifşa oldu saldırganlar. Ve bu bir ayrıntı değildi. Günümüzde bunu yapmamak çok kolaychat Verilen telefon numarasını bir SIM karta yerleştirin ve ardından sahte hesaplar oluşturmak için kullanın veya hatta kimlik avı saldırılarıKullanıcılar riskin farkında değildi.
Güvenlik uzmanı böyle bir saldırının tam olarak nasıl işleyeceğini açıkladı. Bunun özü şuydu: Google Hesabı kullanıcı adı kurtarma formu JavaScript gerektirmiyordu., böylece olağan korumayı kaybeder. Brutecat, bunun aracılığıyla belirli bir e-posta adresinin kime ait olduğunu bulmaya çalıştı ve ardından kullanıcının telefon numarasının bir kısmına ulaştı. Doğru araçlarla, numarayı bulmak yalnızca birkaç dakika ve bazen yalnızca birkaç saniye sürdü.
Ayrıca ortaya çıktı ki Looker Studio, eski adıyla Google Data Studio, kolayca kandırılır ve saldırgan kısa sürede hesap sahibinin tam adını gösterir Google'da. O noktada, potansiyel bir saldırganın elinde ihtiyaç duyduğu her şey vardır. Bu yüzden Brutecat Google 14 Nisan'da uyardıOluşturduğu senaryo gereği bu bilgiye ulaşmanın çok kolay ve hızlı olduğunu söyledi.
Mayısta Google her şeyi düzeltti ve şöyle dedi: "Bu sorun düzeltildi. Güvenlik araştırma topluluğuyla ödül programımız aracılığıyla her zaman çalışmamızın önemini vurguladık ve araştırmacıya sorunu dikkatimize getirdiği için teşekkür ederiz." Bu arada birinin hatayı fark edip kullanıcı numaralarını ele geçirmemiş olmasını umabiliriz.
