Grave falla di sicurezza! Google: numeri di telefono accessibili in pochi minuti

Un ricercatore di sicurezza di Singapore ha scoperto che i numeri di telefono collegati agli account Google potevano essere facilmente indovinati tramite metodi di brute-force. La vulnerabilità è stata segnalata a Google il 14 aprile 2025 e, secondo i risultati del ricercatore, i numeri di Singapore potevano essere decifrati in una media di 5 secondi, mentre quelli statunitensi in circa 20 minuti.

La falla di sicurezza è stata individuata in una pagina di recupero del nome utente JavaScript ormai in disuso. Questa pagina era priva di misure di sicurezza di base, come il CAPTCHA, e poteva essere facilmente sfruttata dagli aggressori. Anche le ultime due cifre del numero mostrate nella schermata di reimpostazione della password di Google facilitavano l'attacco.

Il ricercatore ha utilizzato questa vulnerabilità sviluppando un metodo in tre fasi. In primo luogo, veniva identificato il nome dell'utente target tramite Google Looker Studio, successivamente venivano apprese le ultime due cifre del numero tramite la schermata di reimpostazione della password e, infine, veniva indovinato il numero completo effettuando tentativi sistematici attraverso la pagina di recupero.

Google è intervenuta rapidamente per chiudere questa falla di sicurezza, disattivando completamente la pagina di recupero interessata il 6 giugno 2025. Il ricercatore ha ricevuto un premio di 5.000 dollari per questa importante scoperta. Questo episodio segue un'altra vulnerabilità, scoperta dallo stesso ricercatore, che permetteva di rivelare le informazioni degli account dei creatori di contenuti su YouTube.

Fonte della notizia: 12punto