Google закрыл дыру, позволявшую подбирать номер по имени аккаунта

Google закрыл дыру, позволявшую подбирать номер по имени аккаунта

Google закрыл дыру, позволявшую подбирать номер по имени аккаунта

Исследователь под ником BruteCat обнаружил, что перебором можно было узнать номер телефона, привязанный к аккаунту Google, если знать имя пользователя и часть номера. Уязвимость оказалась в старой версии формы восстановления имени пользователя, которая работала без JavaScript — и, как выяснилось, без современной защиты.

Как всё работало

Форма позволяла отправить запросы с именем пользователя и номером телефона — и в ответ возвращала ответ, существует ли такой аккаунт. Всё это делалось с помощью двух POST-запросов. Формально защита была, но:

  • Ограничение по числу запросов обошли с помощью IPv6-ротации — через /64-подсети можно было генерировать триллионы уникальных IP-адресов.
  • CAPTCHA блокировали не всех — её удалось обойти, подставляя валидный BotGuard-токен от JS-версии формы.

Что использовал исследователь

BruteCat создал утилиту gpb, которая:

  • Перебирала номера по шаблонам, учитывающим формат номеров в конкретной стране;
  • Работала с библиотекой libphonenumber от Google;
  • Автоматически получала BotGuard-токены через headless Chrome;
  • Отправляла до 40 000 запросов в секунду.

Например, на подбор американского номера уходило около 20 минут, на британский — 4 минуты, на нидерландский — всего 15 секунд.

 

Как добывались недостающие цифры

Чтобы сузить круг поиска, исследователь получал часть номера из:

  1. Формы восстановления аккаунта Google — она показывает две цифры;
  2. Сторонних сервисов, например PayPal, где в процессе сброса пароля можно увидеть больше цифр (например, +14•••••1779).

А имейл-адрес пользователя, который Google больше не показывает напрямую, BruteCat доставал через Looker Studio: создаётся документ, передаётся на владение жертве — и её имя появляется в панели управления.

Чем это опасно

Если злоумышленник узнает привязанный номер телефона:

  • Он может начать вишинг (мошеннические звонки с целью выманить данные);
  • Провести СИМ-свопинг и получить контроль над номером;
  • Использовать номер для сброса паролей и доступа к другим сервисам.

Реакция Google

  • BruteCat сообщил об уязвимости 14 апреля 2025 года через программу вознаграждений Google.
  • Сначала баг не восприняли всерьёз.
  • 22 мая Google изменила оценку на «среднюю» степень риска и выпустила частичные патчи, выплатив исследователю $5 000.
  • 6 июня Google окончательно закрыла уязвимую JS-disabled форму.

Использовали ли уязвимость злоумышленники до её закрытия — неизвестно.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Security Vision привезёт на форум «Москва 2030» киберигры и тесты

С 14 августа по 14 сентября 2025 года на территории МГТУ им. Н.Э. Баумана (Москва, Бригадирский переулок, д. 13) пройдет масштабный форум-фестиваль «Территория Будущего. Москва 2023» – площадка, где встречаются технологии, образование и инновации.

Security Vision совместно с парком профессий Кидзания подготовили для гостей серию полезных и увлекательных активностей:

  • Тест «Кто ты в сфере информационной безопасности?»
    Каждый сможет пройти мини-опрос на интерактивном терминале и определить, какая профессия в кибербезопасности ему ближе: архитектор ИТ-безопасности, аналитик ИТ-безопасности, специалист SOC, администратор систем безопасности, разработчик или тестировщик ПО, консультант по ИБ и другие. Результат теста можно будет получить на электронную почту  вместе с подарком от Кидзании
  • Профессия «Белый хакер» 
    Адаптированная версия популярной игры из Центра Кибербезопасности Security Vision в Кидзании. Участники с помощью планшета исследуют систему, находят уязвимости и предлагают рекомендации по ее защите.
  • Компьютерная игра от Security Vision «Кибербитва»
    Захватывающее сражение, показывающее работу систем киберзащиты. Чтобы победить, понадобятся командная работа, стратегическое мышление и технические навыки. 

Компания Security Vision последовательно развивает образовательные проекты для детей и подростков, чтобы формировать культуру безопасного поведения в цифровой среде и знакомить молодое поколение с профессиями в сфере информационной безопасности. Вместе с парком профессий Кидзания компания создаёт интерактивные форматы, которые помогают не только получить знания о кибербезопасности, но и попробовать себя в роли специалистов будущего. 

«Территория будущего. Москва 2030» — это возможность в масштабах всего города познакомиться с будущим, опробовав его технологии, которые уже сегодня применяются в столице. Дети и взрослые смогут пообщаться с роботами и искусственным интеллектом, посмотреть на работу современного беспилотного транспорта, поиграть на технологичных спортивных площадках, изучить новые образовательные, медицинские и промышленные инновации, погрузиться в VR-пространство и многое другое. Security Vision уверена, что популяризация кибербезопасности сегодня – это вклад в цифровое будущее страны.

Security Vision ждёт вас на своей локации с 14 августа по 14 сентября со вторника по воскресенье! 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru