En bugg hos Google tillät upptäckt av användares telefonnummer. Även om sårbarheten är åtgärdad nu så var det under en tid möjligt att komma åt telefonnummer till nästan alla användare av Google. Det upptäckta felet hittades i processen där man kan använda sitt telefonnummer för att återställa lösenord.

Användares telefonnummer är inte offentliga och ska betraktas som känslig information men det upptäcktes att det saknades BotGuard skydd på den sidan där man återställer Google kontot. BotGuard skyddar webbplatser och applikationer och är en lösning för cybersäkerhet som är molnbaserad. Den skyddar mot automatiserade attacker, crawlers och scrapers samt skadliga robotar men fungerar endast på webbplatser som använder Javascript.

Många avancerade tekniker för att upptäcka cyberhot samlar in data via Javascript i webbläsare. Saknas Javascript eller om det är inaktiverat samlas inte tillräckligt med information in för att göra beteendeanalyser.

Brutecat som forskar inom cybersäkerhet och som är den som upptäckte buggen  kom upp i 40 000 förfrågningar per sekund. Tiden för att lyckas hitta telefonnummer för återställning var endast mellan 4-20 minuter. Det inkluderar tid för att kringgå CAPTCHA om det fanns. Forskaren upptäckte också ett sätt att använda Looker Studio för att få tillgång till fullständiga användarnamn.

“This issue has been fixed. We’ve always stressed the importance of working with the security research community through our vulnerability rewards program and we want to thank the researcher for flagging this issue. Researcher submissions like this are one of the many ways we’re able to quickly find and fix issues for the safety of our users.” - meddelade Kimberly Samra, Googles talesperson

Google har också meddelat att det inte finns några bekräftade rapporter om att sårbarheterna har blivit utnyttjade. Så trots att risken för phishing och SIM-swapping attacker är stor när en svaghet tillåter upptäckt av användares telefonnummer till konton så kanske det gått bra - den här gången.

Skaffa extra cybersäkerhet idag!

Läs mer om Cybersäkerhet här