Một nhà nghiên cứu tự xưng là BruteCat đã phát hiện ra một lỗ hổng tại Google. Lỗ hổng này cho phép bất kỳ ai đoán được số điện thoại khôi phục của bất kỳ tài khoản Google nào. Để có được số này, kẻ tấn công chỉ cần có địa chỉ Gmail của người dùng.
Nhà nghiên cứu, người đã phát hiện ra một lỗi tương tự tại YouTube cách đây vài tháng, nhận ra rằng có thể truy cập vào biểu mẫu khôi phục cũ cho một tài khoản Google. Điều này cho phép người dùng kiểm tra xem số điện thoại có được liên kết với tài khoản Google hay không. Tất cả những gì họ cần là tên hiển thị trên tài khoản và gửi yêu cầu đến máy chủ. Theo cách này, nhà nghiên cứu có thể xác minh rằng một số thực sự được liên kết với tài khoản Google. Đây đã là một lỗ hổng bảo mật khá đáng lo ngại.
Từ đó, phần mềm do BruteCat thiết kế có thể dễ dàng liên kết một tài khoản với một số điện thoại đầy đủ. Đây rõ ràng là một thảm họa bảo mật. Với tên, địa chỉ email và số điện thoại của bạn, tin tặc có thể dàn dựng các cuộc tấn công lừa đảo thuyết phục và đáng gờm.
Nguồn: BruteCat
Nhà nghiên cứu, người đã phát hiện ra một lỗi tương tự tại YouTube cách đây vài tháng, nhận ra rằng có thể truy cập vào biểu mẫu khôi phục cũ cho một tài khoản Google. Điều này cho phép người dùng kiểm tra xem số điện thoại có được liên kết với tài khoản Google hay không. Tất cả những gì họ cần là tên hiển thị trên tài khoản và gửi yêu cầu đến máy chủ. Theo cách này, nhà nghiên cứu có thể xác minh rằng một số thực sự được liên kết với tài khoản Google. Đây đã là một lỗ hổng bảo mật khá đáng lo ngại.
Kẻ tấn công có thể đoán được số điện thoại của một tài khoản Google như thế nào?
Chuyên gia này đã tiến thêm một bước nữa trong nghiên cứu của mình. Anh ấy muốn tự động kiểm tra hàng nghìn số để xem tội phạm mạng có thể lợi dụng lỗ hổng này trên quy mô lớn như thế nào. Nhà nghiên cứu đã phát triển một công cụ kiểm tra các số ngẫu nhiên bằng cách bỏ qua các cơ chế bảo mật của Google. Công cụ này thực sự có thể tạo ra các số điện thoại hợp lệ và nhập chúng vào biểu mẫu Google. Nhờ đó, nhà nghiên cứu có thể kiểm tra từng chút một những số nào được liên kết với tài khoản Google. Ngay cả khi mục tiêu không bao giờ mở tài liệu, tên hiển thị của họ vẫn tự động xuất hiện trong giao diện Looker Studio. Sau đó, trình tạo sẽ tạo ra các số điện thoại hợp lệ cho đến khi tìm thấy số chính xác được liên kết với tài khoản Google. Toàn bộ quá trình được xử lý tự động bằng phần mềm. Như nhà nghiên cứu thừa nhận, có thể có hàng nghìn tài khoản Google có cùng tên. Để thu hẹp phạm vi tìm kiếm, anh ấy đã sử dụng các đoạn trích số điện thoại. Rất dễ để có được những đoạn trích này. Tất cả những gì bạn phải làm là truy cập trang khôi phục tài khoản Google. Nếu bạn nhập tên và email trên trang web, Google có thể hiển thị hai chữ số của số điện thoại khôi phục được liên kết với tài khoản.Từ đó, phần mềm do BruteCat thiết kế có thể dễ dàng liên kết một tài khoản với một số điện thoại đầy đủ. Đây rõ ràng là một thảm họa bảo mật. Với tên, địa chỉ email và số điện thoại của bạn, tin tặc có thể dàn dựng các cuộc tấn công lừa đảo thuyết phục và đáng gờm.
Google đã sửa lỗi
Nhà nghiên cứu đã cảnh báo Google về lỗ hổng bảo mật này vào ngày 14 tháng 4 năm 2025. Vào ngày 22 tháng 5 năm 2025, gã khổng lồ Mountain View cuối cùng đã quyết định rằng tốt nhất là nên xem xét lỗ hổng bảo mật này. Vì vậy, Google đã khắc phục tình hình bằng cách cắt quyền truy cập vào biểu mẫu khôi phục cũ. Các biện pháp giảm thiểu cũng đã được triển khai. BruteCat đã nhận được khoản tiền thưởng 5.000 đô la vì đã phát hiện ra lỗ hổng bảo mật. Người ta không biết liệu tội phạm mạng có khai thác lỗ hổng này trước khi Google hành động hay không.Nguồn: BruteCat
