ثغرة في جوجل تكشف أرقام هواتف الحسابات وتعرّض المستخدمين لهجمات التصيد وSIM Swap

اكتشف الباحث الأمني BruteCat ثغرة خطيرة في أنظمة استرجاع حسابات جوجل، سمحت له بكشف أرقام الهواتف المرتبطة بالحسابات باستخدام اسم العرض الجزئي ورقم هاتف جزئي فقط. هذه الثغرة فتحت الباب لهجمات خطيرة مثل التصيد الاحتيالي والاستيلاء على شرائح SIM.

ثغرة في نموذج استرجاع اسم المستخدم بدون جافاسكريبت

اعتمد BruteCat في هجومه على نسخة قديمة من نموذج استرجاع اسم المستخدم في جوجل كانت تعمل بدون JavaScript. هذه النسخة تفتقر إلى آليات الحماية الحديثة، مما سهّل عملية الهجوم.

استطاع الباحث تجاوز حماية معدلات الطلبات عبر تدوير عناوين IPv6، مما مكنه من إرسال تريليونات الطلبات باستخدام عناوين IP مختلفة. كذلك، تمكن من تجاوز اختبارات CAPTCHA عبر استخدام رموز BotGuard صالحة مأخوذة من النموذج العادي الذي يعتمد على JavaScript.

أداة تخمين الأرقام gpb

طور BruteCat أداة خاصة سماها gpb تقوم بتخمين الأرقام بشكل سريع اعتمادًا على تنسيقات الأرقام في كل بلد. استخدم مكتبة libphonenumber من جوجل لتوليد أرقام صالحة، وأنشأ قاعدة بيانات للتعرف على تنسيقات الدول المختلفة.

بلغت سرعة التخمين نحو 40 ألف طلب في الثانية. استغرق الأمر 20 دقيقة لتخمين الأرقام الأمريكية، و4 دقائق للأرقام البريطانية، وأقل من 15 ثانية للأرقام الهولندية.

كيفية تحديد رقم الهاتف بدقة

يحتاج المهاجم إلى عنوان البريد الإلكتروني للضحية كبداية. ورغم أن جوجل أخفت هذا الخيار منذ العام الماضي، تمكن BruteCat من تجاوزه عبر إنشاء مستند على Looker Studio ونقل ملكيته إلى بريد الضحية. عندها، يظهر اسم العرض في لوحة تحكم المهاجم.

بعد ذلك، استعمل الباحث عملية استرجاع الحساب للحصول على رقمين من رقم الهاتف المرتبط بالحساب. يمكن تقليل وقت التخمين أكثر إذا توفرت أجزاء من الرقم من خدمات أخرى مثل PayPal، والتي تعرض أرقامًا إضافية (مثل: +14•••••1779).

تهديدات أمنية حقيقية للمستخدمين

كشف أرقام الهواتف المرتبطة بحساب جوجل يشكل تهديدًا خطيرًا، حيث يمكن استخدامه في هجمات التصيد الصوتي أو التحايل على شركات الاتصالات للاستيلاء على رقم المستخدم.

استجابة جوجل للثغرة

أبلغ BruteCat شركة جوجل بالثغرة في 14 أبريل 2025 ضمن برنامج مكافآت الثغرات. في البداية، صنّفت جوجل الثغرة كمخاطرة منخفضة، لكنها رفعتها لاحقًا إلى خطورة متوسطة في 22 مايو 2025 ودفعت مكافأة قدرها 5000 دولار.

في 6 يونيو 2025، أكدت جوجل أنها أوقفت بالكامل نقطة الوصول الضعيفة التي كانت تعمل بدون JavaScript، مما أنهى إمكانية استغلال هذه الثغرة.

حتى الآن، لا توجد معلومات مؤكدة حول ما إذا كانت هذه الثغرة قد استُغلت في هجمات فعلية قبل اكتشافها.

📡 لمزيد من التحديثات اليومية، تفضل بزيارة قسم الأخبار على موقعنا.

ابقَ في صدارة المشهد التقني! 🔍
انضم إلى مجتمعنا على تيليغرام لتصلك أبرز الأخبار أولاً بأول! 💡

مقالات ذات صلة:

• ثغرة أمنية في iOS 18 عرّضت مستخدمي تطبيق “Passwords” لهجمات التصيد لعدة أشهر
• جوجل تبدأ حملة لتحسين استهلاك البطارية في تطبيقات أندرويد عبر تتبع “الاستيقاظ المفرط”
• جوجل تصلح ثغرتين خطيرتين تكشفان عناوين البريد الإلكتروني لمستخدمي يوتيوب
• أبل تحذر المستخدمين في أكثر من 90 دولة من هجمات برامج التجسس التابعة للمرتزقة
• كيف يستغل المحتالون ثغرة في حماية iMessage لخداع المستخدمين