хакер взломал Google и научился находить номера телефонов пользователей за 15 секунд

Хакер под псевдонимом BruteCat обнаружил, что форма восстановления Google работает даже с отключенным JavaScript. Обычно такие формы требуют сложную защиту от ботов через JavaScript-код, но эта страница почему-то была доступна.

Уязвимость позволяла брутфорсить номер телефона для восстановления любого аккаунта Google, просто зная имя профиля и легко извлекаемый частичный номер телефона.

Время взлома зависело от страны:
— Нидерланды: 15 секунд
— Сингапур: 5 секунд
— Великобритания: 4 минуты
— США: 20 минут

Чем больше цифр было в номере, тем дольше занимала проверка.

BruteCat сообщил о находке в Google 14 апреля 2025 года. Сначала компания оценила риск как низкий и выплатила всего $1337. Но после жалобы исследователя сумма была увеличена до $5000.

@your_tech