Falla su YouTube: Scoperta una vulnerabilità che espone gli indirizzi email!

Gli sviluppatori di Google hanno risolto due vulnerabilità che, se combinate, potrebbero esporre gli indirizzi email degli account YouTube. Le vulnerabilità sono state scoperte da ricercatori indipendenti con i nickname Brutecat e Nathan, i quali hanno notato che le API di YouTube e Pixel Recorder potevano essere utilizzate per esporre gli identificatori di Google e poi convertirli negli indirizzi email degli utenti.

La prima parte di questo attacco è avvenuta perché BruteCat ha esaminato la Google Internal People API e ha scoperto che la funzionalità di blocco dell’intera rete di Google richiedeva un ID Gaia offuscato e un nome visualizzato per funzionare.

Gaia ID è un identificatore interno univoco utilizzato da Google per gestire gli account sui propri siti. Poiché gli utenti registrano un unico Account Google che utilizzano su tutti i siti Google, questo ID è lo stesso per Gmail, YouTube, Google Drive e altri servizi Google. Questo ID non è destinato all’uso pubblico e viene utilizzato per lo scambio interno di dati tra i sistemi di Google.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Durante l’indagine sulla funzionalità di blocco di YouTube, BruteCat ha scoperto che il tentativo di bloccare qualcuno nella chat di YouTube rivela l’ID Gaia offuscato dell’utente nella risposta alla richiesta API /youtube/v1/live_chat/get_item_context_menu. La risposta conteneva dati codificati in base64 che, una volta decodificati, rivelavano l’ID Gaia dell’utente specifico.

I ricercatori hanno scoperto che cliccando semplicemente sul menu a tre punti in una chat si attiva una richiesta in background all’API di YouTube, consentono l’accesso agli identificatori anche senza essere effettivamente bloccati. Modificando la chiamata API, i ricercatori sono riusciti a ottenere l’ID Gaia per qualsiasi canale YouTube, compresi quelli che desideravano rimanere anonimi.

I ricercatori hanno quindi deciso di convertire l’ID Gaia in un indirizzo email. Tuttavia, le API in grado di farlo erano obsolete e non funzionavano più, così BruteCat e Nathan hanno iniziato a cercare servizi Google vecchi e obsoleti che potessero essere sfruttati. Alla fine, Nathan ha scoperto che Pixel Recorder ha un’API che può essere utilizzata per convertire l’ID in un indirizzo email quando si pubblica una registrazione.

Ciò significava che una volta ottenuto un ID Gaia per un utente YouTube specifico, quell’ID poteva essere trasmesso alla funzione di condivisione dati di Pixel Recorder, che avrebbe rivelato l’indirizzo email associato a quell’ID, compromettendo potenzialmente milioni di utenti YouTube.

“La fuga di dati di Gaia ID avviene in più prodotti Google diversi da YouTube (Maps, Play, Pay), il che rappresenta un rischio significativo per la privacy di tutti gli utenti Google, poiché questi ID possono essere utilizzati per rivelare l’indirizzo email associato a un account Google”, hanno spiegato i ricercatori alla pubblicazione.

Sebbene i ricercatori abbiano trovato un modo per ottenere indirizzi e-mail tramite Gaia ID, Pixel Recorder ha avvisato gli utenti del file condiviso, il che avrebbe potuto mettere in guardia la vittima da attività dannose. P

Ti è piaciutno questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.