Googleアカウントの電話番号を窃取可能な脆弱性が発見

Malwarebytesは6月10日(米国時間)、「Google bug allowed phone number of almost any user to be discovered｜Malwarebytes」において、Googleアカウントの再設定用電話番号を窃取できる脆弱性が発見されたと報じた。

この脆弱性はbrutecatと名乗るセキュリティ研究者により発見された。脆弱性を悪用することで、数秒から十数分ほどで電話番号を特定できるとされる。

• 

  Google bug allowed phone number of almost any user to be discovered｜Malwarebytes

ユーザー名復元ページへの総当たり攻撃

研究者が公開した情報によると、脆弱性はJavaScriptを必要としないユーザー名復元ページに存在したという。このページは回復用の電子メールアドレスまたは電話番号が、特定の表示名に関連付けられているか検証する機能を提供しており、単純なHTTPリクエストを送信するだけで検証できるという(参考：「Bruteforcing the phone number of any Google user」)。