Виявлено небезпечну вразливість Google
Будь-який номер телефону, прив’язаний до системи, можуть викрасти.
Фахівці з кібербезпеки виявили спосіб розкрити будь-який номер телефону, прив’язаний до облікового запису Google. Використовуючи цей метод, зловмисники можуть підмінювати SIM-карти та не тільки.
Про це повідомляє журнал Wired, посилаючись на інформацію від Google.
Номер телефону часто є конфіденційною інформацією та не розголошується. Через виявлену вразливість хакери могли його отримати навіть з відносно невеликими ресурсами, застосовуючи метод «грубої сили» (brute force). Під загрозою опинилися власники майже всіх смартфонів під управлінням Android, оскільки вони прив’язані до облікових записів Google.
«Я вважаю, що цей експлойт є доволі небезпечним, оскільки він, фактично, є золотим дном для підмінників SIM-карт», — зазначив незалежний дослідник безпеки з псевдонімом brutecat, який виявив проблему.
Підмінники SIM-карт — це хакери, які захоплюють доступ до номера телефону жертви, щоб приймати її дзвінки та текстові повідомлення, що, своєю чергою, дозволяє їм зламувати різні облікові записи.
Номери телефонів є ключовою інформацією для SIM-обмінників. Хакери такого типу були залучені до незліченних зломів окремих осіб з метою крадіжки онлайн-імен користувачів або криптовалюти. Проте досвідчені SIM-обмінники також перейшли до атак на великі компанії. Деякі з них працювали безпосередньо з бандами здирників зі Східної Європи.
Маючи доступ до номера телефону, злочинець може звернутися до оператора стільникового зв’язку, видати себе за жертву та попросити перенаправити повідомлення на іншу SIM-карту. Після цього хакер може отримати повідомлення для скидання пароля або коди багатофакторної автентифікації та увійти в облікові записи жертви.
Це можуть бути біржі, де зберігається криптовалюта, або електронна пошта, яка відкриває доступ до багатьох інших облікових записів, наприклад, до банківських додатків.
У середині квітня журналісти надали brutecat одну з адрес електронної пошти Gmail для перевірки вразливості. Приблизно за шість годин він зміг визначити правильний номер телефону, прив’язаний до акаунта.
Згідно з дослідником, використовується саме brute force метод, коли зловмисник швидко перебирає різні комбінації цифр або символів, поки не знайде потрібні. Зазвичай так роблять для підбору чийогось пароля. Виявлення займає близько години для номера зі США і близько 8 хвилин для номера з Великої Британії, для інших країн може знадобитися менш як хвилина.
Головне, що потрібно хакерам — це ім’я користувача в Google. Спочатку зловмисники передають жертві право власності на документ із продукту Looker Studio від Google. Вони змінюють назву документа на безліч символів, тому ціль не отримує сповіщення про зміну власника. Використовуючи певний користувацький код, brutecat потім підбирає номер телефону, допоки не з’ясує потрібний, при цьому жертва не отримує жодних попереджень.
Представник Google повідомив 404 Media у своїй заяві, що вразливість вже усунено. Компанія відреагувала на повідомлення кіберексперта про проблему, яке було надіслано через програму винагород.
За словами brutecat, компанія виплатила йому 5000 доларів. Спочатку Google присвоїла вразливості низький ступінь загрози, але потім підвищила його до середнього.
