Специалист по кибербезопасности под псевдонимом Brutecat обнаружил способ, позволяющий вычислить номер телефона, привязанный к аккаунту Google.

Этот метод был подтвержден независимыми журналистами из изданий 404 Media и Wired. На момент выявления уязвимость представляла серьезную угрозу — процесс подбора номера занимал считанные минуты и не требовал значительных ресурсов. Даже начинающий хакер мог воспользоваться этим методом. Однако Google уже устранил проблему.

Чтобы продемонстрировать эффективность своей находки, исследователь по просьбе журналистов определил номер телефона, привязанный к одному из их Gmail-аккаунтов. На это ушло около шести часов, после чего Brutecat сообщил точный номер.

Основой метода был автоматизированный перебор телефонных номеров. Так, в случае с американскими номерами процедура занимала примерно час, для британских — около восьми минут. В некоторых странах идентификация могла занимать менее 60 секунд.

Brutecat сообщил, что за свою находку он получил от Google $5000, а также дополнительное вознаграждение за другие связанные проблемы. Изначально уязвимость оценивалась компанией как низкоопасная, но позже ее рейтинг был повышен.