Scoperto un bug in Google: a rischio i numeri di recupero degli account

Una grave vulnerabilità nei sistemi di Google ha messo a rischio la privacy di milioni di utenti. Questa falla ha reso accessibili i numeri di recupero associati agli account Google senza alcuna autorizzazione, esponendo gli utenti a potenziali attacchi di tipo SIM swap e furti d'identità, in particolare per gli account anonimi.

La scoperta della vulnerabilità

La vulnerabilità è stata scoperta dal noto ricercatore di sicurezza conosciuto come "brutecat", che ha dimostrato come fosse possibile ottenere il numero telefonico collegato a qualsiasi account Google senza che il proprietario ne fosse informato. Utilizzando tecniche avanzate, brutecat è riuscito a superare le protezioni anti-bot e i limiti di richieste, individuando il numero di recupero di un account in meno di 20 minuti. Questo exploit ha sollevato serie preoccupazioni sulla sicurezza degli account degli utenti.

La portata del problema è stata confermata dal team di TechCrunch, che ha collaborato con il ricercatore per verificare l'efficacia dell'attacco. Creando un nuovo account Google con un numero telefonico mai utilizzato prima, il team ha fornito a brutecat solo l'indirizzo email. In breve tempo, il ricercatore è riuscito a identificare correttamente il numero di telefono associato all'account, dimostrando la pericolosità della falla.

Account particolarmente vulnerabili

Gli account anonimi erano particolarmente vulnerabili, poiché l'esposizione del numero telefonico poteva facilitare attacchi di tipo SIM swap. Questa tecnica consente ai criminali informatici di prendere il controllo del numero telefonico della vittima, utilizzandolo per ricevere codici di recupero password e accedere agli account protetti. Questo tipo di attacco è particolarmente pericoloso, poiché sfrutta la debolezza delle protezioni telefoniche per compromettere l'intero ecosistema di sicurezza di un utente.

Il premio per il ricercatore

Google, una volta informata della vulnerabilità ad aprile, ha agito prontamente per risolvere il problema. La società ha premiato il ricercatore di sicurezza con 5.000 dollari attraverso il suo programma di bug bounty, un'iniziativa che incentiva gli esperti indipendenti a segnalare problemi di sicurezza. Google ha dichiarato di non aver rilevato alcun caso di sfruttamento della vulnerabilità prima della sua correzione, sottolineando l'importanza della collaborazione con i ricercatori per mantenere alti standard di protezione dei dati.