Große Sicherheitslücke! Es wurde aufgedeckt, dass Telefonnummern bei Google innerhalb von Minuten zugänglich sind

Ein Sicherheitsforscher aus Singapur hat entdeckt, dass Telefonnummern, die mit Google-Konten verknüpft sind, mithilfe von Brute-Force-Methoden leicht erraten werden können. Die Schwachstelle wurde am 14. April 2025 an Google gemeldet. Den Erkenntnissen des Forschers zufolge konnten Telefonnummern aus Singapur im Durchschnitt in 5 Sekunden und US-Nummern in etwa 20 Minuten entschlüsselt werden.

Die Sicherheitslücke befand sich auf einer nicht mehr verwendeten Seite zur Wiederherstellung von Benutzernamen mittels JavaScript. Diese Seite verfügte nicht über grundlegende Sicherheitsmaßnahmen wie CAPTCHA und konnte von Angreifern leicht ausgenutzt werden. Auch die letzten beiden Ziffern der Nummer, die auf dem Passwort-Zurücksetzen-Bildschirm von Google angezeigt werden, erleichterten den Angriff.

Der Forscher nutzte diese Schwachstelle durch ein dreistufiges Verfahren. Zunächst wurde der Name des Zielnutzers über Google Looker Studio ermittelt, anschließend wurden über den Bildschirm zum Zurücksetzen des Passworts die letzten beiden Ziffern der Nummer in Erfahrung gebracht und schließlich wurde durch systematische Versuche über die Wiederherstellungsseite die vollständige Nummer erraten.

Google reagierte schnell, um diese Sicherheitslücke zu schließen, und deaktivierte die entsprechende Wiederherstellungsseite am 6. Juni 2025 vollständig. Der Forscher erhielt für diese wichtige Entdeckung eine Belohnung in Höhe von 5.000 Dollar. Dieser Vorfall ereignete sich, nachdem derselbe Forscher zuvor bereits eine andere Schwachstelle aufgedeckt hatte, die Kontodaten von YouTube-Content-Erstellern offenlegen konnte.

Nachrichtenquelle: 12punto