2SDnjcbPXe3
Всё, что нужно было хакеру — ваше имя и пара цифр из номера. Дальше — дело техники. Так работала опасная дыра в системе восстановления учётных записей Google, которую обнаружил исследователь под псевдонимом BruteCat. Уязвимость позволяла вычислить любой привязанный номер телефона — а это ключ к фишингу, взлому аккаунтов и SIM-свапу. Об этом сообщил BleepingComputer.
Суть схемы — в устаревшей форме восстановления логина, которая работала без JavaScript. Защиты там были, мягко говоря, архаичные: минимальная проверка, простенькое ограничение по IP и капча, которую можно было обмануть, подставив валидный токен BotGuard из нормальной версии формы.
BruteCat автоматизировал всё: написал брутфорсер, использовал прокси с IPv6-диапазонами, генерировал BotGuard-токены через headless Chrome и валидные номера через библиотеку libphonenumber. Скорость? До 40 000 запросов в секунду. Найти номер в США — 20 минут, в Нидерландах — 15 секунд.
Но как узнать нужное имя и хотя бы часть номера? Тут тоже всё просто. Google в процессе восстановления аккаунта показывает две цифры привязанного телефона. А некоторые сервисы вроде PayPal выдают ещё больше — до шести цифр. Осталось узнать имя — и это тоже возможно: достаточно переслать пустой документ в Looker Studio на Gmail жертвы. В панели отображается имя владельца — никакой реакции с его стороны не нужно.
Собрав всё вместе, BruteCat получил возможность выяснить, какие номера привязаны к любому Google-аккаунту. А зная номер — можно идти дальше: подбирать SMS-коды, делать SIM-свап и угонять аккаунт.
Google признала уязвимость 22 мая и оценила её как «среднюю». Уже 6 июня уязвимый механизм был полностью отключён. За находку BruteCat получил $5 000 по программе вознаграждений.
Теперь атака невозможна, но её пример отлично показывает, насколько опасны забытые формы и устаревшие механизмы даже в таких IT-гигантах, как Google.
Компания «ИнфоТеКС» – ведущий отечественный разработчик и производитель высокотехнологичных программных и программно-аппаратных средств защиты информации, отмечает 35-летие.
Российские IT-компании начали разрабатывать отдельные системы контроля за автономными ИИ-агентами.
Средние розничные цены на уже продающиеся смартфоны с начала 2026 года выросли на 15%, а новые модели выходят в среднем на 25% дороже своих прошлогодних предшественников.
МВД России совместно с МИД и РИА Новости запустило специальный проект «Код из смс», который станет дополнительным каналом оперативного предупреждения граждан о новых и уже известных схемах телефонного мошенничества.
17 сентября в пространстве «Особняк Инвестора» (Москва, улица Фридриха Энгельса, 64, стр.
Компании ужесточают проверки соискателей на удаленные вакансии из-за роста мошенничества с использованием ИИ, дипфейков и поддельных личностей.
В России обсуждают создание 30-40 межрегиональных хабов центров обработки данных, каждый из которых сможет обслуживать сразу несколько субъектов.
Аналитики «Лаборатории Касперского» и МегаФона проанализировали статистику тренировочных фишинговых рассылок за последние несколько лет*.
Эксперты Jet CSIRT компании «Инфосистемы Джет» подвели итоги анализа кибератак за первое полугодие 2026 года.
Штраф от Роскомнадзора за неправильно оформленное облако, спор с сотрудником за права на код, взлом через подрядчика — это истории, с которыми компании сталкиваются прямо сейчас.
