Američki tehnološki gigant Google objavio je da je zakrpio ozbiljan bezbjednosni propust u sistemu za oporavak naloga, koji je mogao omogućiti napadačima da otkriju privatne brojeve telefona korisnika i iskoriste ih za pristup gotovo bilo kojem Google nalogu.
Prema navodima portala TechCrunch, greška je omogućavala sistematski automatizovan napad u kojem su napadači mogli kombinovati tehničke metode – od identifikacije punog imena korisnika, do zaobilaženja zaštitnih mehanizama koji sprečavaju zloupotrebu prilikom zahtjeva za resetovanje lozinki.
Jednom kada bi zaštita bila zaobiđena, napadači su mogli pokušavati sve moguće brojeve dok ne pogode onaj tačan, čime bi dobili ključni podatak za reset lozinke i pristup tuđem nalogu.
Ovu ranjivost je otkrio nezavisni bezbjednosni istraživač pod nadimkom “brutecat”, koji je za svoj doprinos nagrađen sa 5.000 dolara kroz Googleov program za prijavu grešaka (bug bounty).
Iako ne postoje dokazi da je ovaj propust iskorišten u stvarnim napadima, stručnjaci upozoravaju da bi njegova zloupotreba mogla imati ozbiljne posljedice po privatnost i bezbjednost korisnika.
Iz Googlea su poručili da je ranjivost u potpunosti uklonjena još u aprilu, ali da su detalji objavljeni tek sada, nakon što je kompanija potvrdila da više ne postoji rizik za korisnike.
