Un investigador de ciberseguridad aprende a identificar cualquier número de teléfono por piratear cuentas de Google. El método ha sido probado por 404 Media y Wired
Cabe señalar que Google ya ha parcheado la vulnerabilidad. En el momento de su descubrimiento, suponía una amenaza real para la privacidad porque el número se determinaba muy rápidamente. Incluso un hacker novato con relativamente pocos recursos podía hacerlo.
«Considero que este exploit es bastante peligroso, ya que en realidad es una mina de oro para los defraudadores de SIM,» escribió el investigador de seguridad Brutecat que descubrió el problema.
Los periodistas pidieron a Brutecat que pirateara uno de sus direcciones personales de Gmail como verificación. Unas seis horas más tarde, proporcionó el número correcto y completo asociado a esa cuenta.
El método se basa en el forzamiento brusco de números con algunos pasos preparatorios. El forzamiento brusco del teléfono ha demostrado ser extremadamente eficaz: la búsqueda dura aproximadamente una hora para un número estadounidense o sólo ocho minutos para un número británico. Para números de otros países, puede tardar menos de un minuto.
En primer lugar, el atacante necesita un nombre de usuario de Google. En su vídeo, el investigador muestra una forma de conseguirlo. Transfiere la propiedad de un documento de Google Looker Studio al objetivo. Si el nombre del documento contiene un millón de caracteres, no se notifica a la víctima el cambio de propiedad. Mediante un código auxiliar, el experimentador bombardea Google con variantes de números de teléfono hasta que obtiene un resultado. «La víctima no recibe ninguna notificación», — escribe Brutecat.
A esto le siguen los habituales intentos de fraude para reemitir la tarjeta SIM, durante los cuales el atacante debe convencer al operador. Normalmente, para evitar este tipo de hackeos, el FBI estadounidense y otras fuerzas de seguridad recomiendan no utilizar un número conocido públicamente para registrar cuentas — pero esta advertencia no surte efecto cuando se utiliza la fuerza bruta.
El investigador afirmó que Google le recompensó con 5000 dólares por descubrir la vulnerabilidad y con algunos más por determinados hallazgos. Inicialmente, Google etiquetó la vulnerabilidad como de baja probabilidad de explotación, pero más tarde la elevó a media. Ahora la vulnerabilidad está cerrada.
Spelling error report
The following text will be sent to our editors: