Dieser Google-Bug hätte Millionen Telefonnummern offenlegen können
Ein unabhängiger Sicherheitsforscher hat eine schwerwiegende Schwachstelle im Account-Wiederherstellungsprozess von Google entdeckt. Wie Techcrunch berichtet, war es durch das Leck möglich, die private Wiederherstellungsnummer fast jedes Google-Accounts herauszufinden, ohne dass die betroffene Person davon erfuhr.
White-Hat-Hacker:innen als Frühwarnsystem
Der unter dem Pseudonym Brutecat aktive Sicherheitsforscher stieß schon im April auf ein Zusammenspiel mehrerer einzelner Schwachstellen, die sich zu einer gefährlichen Angriffskette zusammenfügen ließen. Auf seinem Blog erklärte er, dass die Lücke unter anderem die Möglichkeit ausnutzte, den vollständigen Anzeigenamen eines Google-Kontos zu ermitteln, und umging Googles Anti-Bot-Maßnahmen für Passwort-Reset-Anfragen. Mithilfe eines automatisierten Skripts war es möglich, die richtige Wiederherstellungsnummer abhängig von deren Länge in unter 20 Minuten zu ermitteln.
Derartige Angriffe sind vor allem deshalb problematisch, weil sie auch anonyme Google-Accounts enttarnen und neue Angriffsflächen eröffnen. Mit der Wiederherstellungsnummer können Hacker:innen beispielsweise SIM-Swap-Angriffe durchführen. Dabei wird die Telefonnummer auf eine andere SIM-Karte übertragen, um anschließend Zugriff auf verknüpfte Dienste zu erhalten – etwa durch das Abfangen von Bestätigungs-SMS beim Zurücksetzen von Passwörtern.
Google konnte die Lücke rechtzeitig schließen
Der Tech-Konzern wurde im April von Brutecat über das Problem informiert. Angesichts des potenziellen Risikos für die breite Öffentlichkeit erklärte sich Techcrunch bereit, die Meldung zurückzuhalten, bis der Fehler behoben werden konnte. Kimberly Samra, Sprecherin von Google, erklärte dem Tech-Magazin, dass die Lücke inzwischen geschlossen sei, und dankte dem Sicherheitsforscher für seinen Einsatz.
Bisher gebe es keine Hinweise darauf, dass die Schwachstelle aktiv ausgenutzt wurde. Im Rahmen des Vulnerability Rewards Program zahlte Google Brutecat 5.000 US-Dollar als Belohnung. „Beiträge wie dieser sind eine von vielen Möglichkeiten, Probleme schnell zu finden und zu beheben, um die Sicherheit unserer Nutzer:innen zu gewährleisten“, kommentierte Samra.
