Redazione RHC : 17 Giugno 2025 08:50
Una vulnerabilità nel modulo di recupero del nome utente legacy di Google permetteva di indovinare il numero di telefono completo associato a un account, conoscendo solo il nome visualizzato e parte del numero. Questa falla aumentava notevolmente il rischio di attacchi mirati, dal phishing al furto di SIM card.
La vulnerabilità è stata scoperta da un ricercatore con lo pseudonimo di BruteCat, divenuto famoso in precedenza per essere riuscito a violare gli indirizzi email privati dei proprietari di account YouTube. Questa volta, ha trovato un modo per aggirare le restrizioni del modulo di recupero del nome utente di Google, progettato per browser senza supporto JavaScript. A differenza della versione attuale, il vecchio modulo non includeva meccanismi moderni di protezione contro le azioni automatiche e rimaneva accessibile alle richieste.
BruteCat notò che il modulo gli permetteva di scoprire se un determinato numero di telefono fosse associato a un account Google specifico, conoscendo il nome del profilo e parte del numero. Iniziò a inviare richieste POST, sostituendo diverse combinazioni, e riuscì ad aggirare con successo la limitazione di base sul numero di tentativi. Per riuscirci, utilizzò la rotazione scalabile degli indirizzi IPv6: grazie alle subnet /64, era possibile generare un numero virtualmente infinito di IP univoci senza attivare blocchi.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il ricercatore ha anche trovato un modo per aggirare la protezione CAPTCHA assegnando un token BotGuard valido, ottenuto dalla versione JavaScript dello stesso modulo, al parametro “bgresponse=js_disabled”. Ha estratto questo token automaticamente utilizzando il browser Chrome headless, scrivendo uno script separato per la generazione.
Queste tecniche sono state utilizzate per creare uno strumento chiamato gpb, che ha forzato in brute force i numeri di telefono rispetto a pattern specifici di diversi paesi, utilizzando la libreria libphonenumber di Google stessa e un database predefinito di maschere. A una velocità di 40.000 query al secondo, ci sono voluti circa 20 minuti per trovare un numero completo negli Stati Uniti, 4 minuti nel Regno Unito e meno di 15 secondi nei Paesi Bassi.
Per avviare l’attacco, era necessario conoscere l’indirizzo email della vittima, ma BruteCat ha aggirato anche questo ostacolo. Ha creato un documento in Looker Studio e ha trasferito la proprietà dell’account della vittima.
Non restava che specificare il numero, e qui entrarono in gioco altri servizi. Ad esempio, quando si cerca di reimpostare una password su PayPal, si possono vedere più cifre di un numero di telefono di quante ne mostri Google: questo era sufficiente per restringere l’intervallo di valori possibili. Quindi BruteCat ha raccolto i numeri completi associati agli account e, secondo lui, nella stragrande maggioranza dei casi si trattava dei numeri di telefono principali dei proprietari.
I dati ottenuti hanno dato al ricercatore di sicurezza l’opportunità di effettuare attacchi mirati, dall’ingegneria sociale al furto di un numero di telefono tramite più operatori. Questo approccio è diventato particolarmente pericoloso se combinato con e-mail e altre fughe di notizie precedentemente divulgate.
Il ricercatore ha segnalato la vulnerabilità a Google il 14 aprile 2025. Inizialmente, l’azienda ha valutato il rischio come basso, ma un mese dopo, il 22 maggio, ha aumentato il livello di minaccia a medio e ha implementato misure di mitigazione temporanee. BruteCat ha ricevuto una ricompensa di 5.000 dollari per la sua ricerca.
Il 6 giugno, Google ha disattivato completamente la vulnerabilità, rendendo impossibile qualsiasi ulteriore sfruttamento. Tuttavia, non è ancora noto se questa tecnica sia stata utilizzata da qualcuno prima che la vulnerabilità venisse ufficialmente chiusa.
Redazione18 novembre 2025 – Dopo ore di malfunzionamenti diffusi, l’incidente che ha colpito la rete globale di Cloudflare sembra finalmente vicino alla risoluzione. L’azienda ha comunicato di aver imple...
La mattinata del 18 novembre 2025 sarà ricordata come uno dei blackout più anomali e diffusi della rete Cloudflare degli ultimi mesi. La CDN – cuore pulsante di milioni di siti web, applicazioni e...
La stanza è la solita: luci tenui, sedie in cerchio, termos di tisane ormai diventate fredde da quanto tutti parlano e si sfogano. Siamo gli Shakerati Anonimi, un gruppo di persone che non avrebbe ma...
Un nuovo allarme sulla sicurezza nel mondo degli investimenti online viene portato all’attenzione da Paragon sec, azienda attiva nel settore della cybersecurity, che ha pubblicato su LinkedIn un pos...
Un’indagine su forum e piattaforme online specializzate ha rivelato l’esistenza di un fiorente mercato nero di account finanziari europei. Un’entità denominata “ASGARD”, sta pubblicizzando ...
