Жесть! Безопасники вскрыли лазейку в Google, позволявшую узнать привязанный к аккаунту номер телефона почти любого юзера. 😱 Эксперт смог подобрать коды восстановления через брутфорс — и это риск для миллионов! Теперь злоумышленники могут использовать номера для SIM-свопинга или фишинга. Хорошо, что Google уже починил дыру, но история лишний раз напоминает: включите двухфакторку и не светите номер где попало! 👀🔐 #Безопасность #GoogleFail #УтечкаДанных

---

Экспертный анализ уязвимости Google: механика атаки через Looker Studio и её последствия для безопасности

Executive Technical Summary

Критическая уязвимость в экосистеме Google позволила исследователю безопасности определить номер телефона, привязанный к любому аккаунту Google, используя комбинацию социальной инженерии и brute-force атаки. Эксплойт, обнаруженный независимым исследователем под псевдонимом brutecat, эксплуатировал особенность сервиса Looker Studio для обхода систем уведомлений и последующего перебора номеров. Техническая значимость инцидента заключается в демонстрации уязвимости цепочек аутентификации крупнейших платформ, где номер телефона служит ключевым идентификатором для восстановления доступа. Уязвимость, оцененная Google как medium-risk после первоначального занижения критичности, создавала идеальные условия для SIM-свопинга – метод атаки, ответственный за 70% крупных краж криптоактивов в 2024 году. Google оперативно исправил уязвимость после отчёта исследователя, выплатив $5000 вознаграждения по программе VRP.

Техническая механика эксплойта

Поэтапная реализация атаки

Атака состояла из двух ключевых фаз:

1. Обход уведомлений через Looker Studio:
   • Злоумышленник создает документ в Looker Studio и изменяет его название на строку длиной в миллионы символов
   • Через API передается запрос на смену владельца документа на целевую жертву
   • Из-за аномальной длины названия система Google не отправляет стандартное уведомление о смене владельца
2. Brute-force определение номера:
   • Используя канал восстановления аккаунта, атакующий запускает скрипт для перебора возможных номеров
   • Система Google возвращает различный ответ при совпадении номера
   • Оптимизация перебора через предсказуемые паттерны номеров (коды стран/операторов)

Технические характеристики атаки

// Псевдокод алгоритма brute-force
function findGooglePhoneNumber(targetEmail) {
  const countryCodes = ['+1', '+44', '+7'];
  const patterns = generateNumberPatterns(countryCodes);

  for (const number of patterns) {
    const response = googleAccountRecoveryAPI(targetEmail, number);
    if (response.status === 'PARTIAL_MATCH') {
      return number; // Найден корректный номер
    }
  }
}

Временные характеристики перебора: — США: ~60 минут — Великобритания: ~8 минут — Другие регионы:

Анализ угроз и рисков

SIM-свопинг как главная угроза

Раскрытый номер становится отправной точкой для цепочки атак:

Этап атаки	Техника	Риск
Социальная инженерия	Имперсонация владельца номера у оператора связи	Перехват управления номером
2FA компрометация	Перехват SMS/TOTP кодов	Доступ к аккаунтам банков/криптобирж
Эскалация привилегий	Восстановление доступа через email	Полный контроль над цифровой идентичностью

Реальные инциденты

• В 2023 году через SIM-свопинг похищено $24M криптовалюты у инвестора Michael Terpin
• Группа Evil Corp использовала SIM-атаки для компрометации корпоративных аккаунтов Microsoft 365
• Российские операторы связи отмечают 300% рост попыток SIM-свопинга за 2024 год

Архитектурные уязвимости и исправление

Корневая проблема – конфликт в системе уведомлений Google:

┌────────────────┐         ┌──────────────────┐
│ Looker Studio  │         │ Account Recovery │
│ - Owner change │         │ - Phone number   │
│ - Notification │◄───X───►│   verification   │
│   subsystem    │ Broken  │ - Rate limiting  │
└────────────────┘   Link  └──────────────────┘

Google устранил уязвимость путём:

1. Введения обязательных уведомлений при любом изменении владельца документа
2. Ужесточения rate-limiting для запросов восстановления
3. Добавления анализа аномальных паттернов запросов в реальном времени

Рекомендации по защите

Для корпоративных архитектур

• Реализовать FIDO2/WebAuthn вместо SMS для 2FA
• Настроить выделенные номера для критичных сервисов с запретом переадресации
• Внедрить UEBA-системы для детекции аномальных действий с аккаунтами

Для физических лиц

• Активировать Advanced Protection Program Google
• Использовать аппаратные security keys
• Установить PIN-код переноса номера у оператора связи

Экспертные выводы и прогнозы

Инцидент демонстрирует системную слабость цепочек доверия в identity management. Несмотря на оперативное исправление, фундаментальная проблема использования номеров как идентификаторов сохраняется. Отраслевые тренды:

1. Переход к passwordless аутентификации с FIDO2 стандартом
2. Внедрение Zero-Trust архитектур в consumer-сервисах
3. Развитие законодательства о защите идентификаторов (аналогично GDPR для PII)

Для российских компаний критически важно аудитировать процессы восстановления доступа и пересмотреть использование телефонных номеров как root of trust. Альтернативы – внедрение ГОСТ-совместимых криптоконтейнеров и аппаратных ключей JaCarta.