Un chercheur découvre une faille permettant de révéler les numéros de téléphone liés aux comptes Google

Un chercheur découvre une faille permettant de révéler les numéros de téléphone liés aux comptes Google

Un chercheur en cybersécurité a identifié une méthode pour découvrir le numéro de téléphone associé à n'importe quel compte Google, une information normalement privée et sensible. Cette vulnérabilité, désormais corrigée, représentait un risque important pour la vie privée, permettant même à des pirates peu expérimentés d'accéder à des données personnelles. L'expert en sécurité indépendant, connu sous le pseudonyme brutecat, a qualifié cette faille de "véritable mine d'or pour les SIM swappers".

Les SIM swappers sont des pirates qui détournent les numéros de téléphone de leurs victimes pour intercepter leurs appels et messages. Cette technique leur permet ensuite de pirater divers comptes en ligne. Pour démontrer cette vulnérabilité, brutecat a utilisé une adresse Gmail fournie par 404 Media et a réussi à retrouver le numéro de téléphone associé en seulement six heures.

Le processus, qualifié de "brute forcing", consiste à tester systématiquement différentes combinaisons numériques jusqu'à trouver le bon numéro. Selon brutecat, cette méthode prenait environ une heure pour un numéro américain et seulement huit minutes pour un numéro britannique. Pour d'autres pays, le temps pouvait être inférieur à une minute.

Dans une vidéo explicative, brutecat détaille comment un attaquant pourrait exploiter cette faille. Il suffisait de connaître le nom d'affichage Google de la victime, obtenu en transférant la propriété d'un document via Looker Studio. En modifiant le nom du document avec des millions de caractères, la victime ne recevait aucune notification du transfert.

Google a confirmé avoir corrigé cette vulnérabilité et a remercié le chercheur pour sa découverte. L'entreprise a versé une récompense de 5 000 dollars à brutecat dans le cadre de son programme de récompenses pour les vulnérabilités. Initialement classée comme faible, la gravité de cette faille a finalement été reclassée comme moyenne.

Les numéros de téléphone sont une cible privilégiée pour les SIM swappers, qui les utilisent pour détourner des comptes importants, notamment ceux liés à la cryptomonnaie. Le FBI recommande d'ailleurs de ne jamais divulguer publiquement son numéro de téléphone pour éviter ce type d'attaques.