Google ปิดฟอร์ม Username Recovery หลังพบช่องโหว่ Brute-force
Last updated: 12 Jun 2025
29 Views
สรุปข้อมูล
ในเดือนเมษายนที่ผ่านมามีการค้นพบช่องโหว่ในระบบ Username Recovery ของ Google ซึ่งทำให้แฮกเกอร์สามารถค้นหาเบอร์โทรศัพท์ที่เชื่อมโยงกับบัญชีผู้ใช้งานของ Google ได้ผ่านการโจมตีแบบ Brute-force ณ ปัจจุบันทาง Google ได้ดำเนินการแก้ไขโดยการปิดใช้งานฟอร์ม Username Recovery ในรูปแบบที่ไม่ใช้ JavaScript เป็นที่เรียบร้อยแล้ว
รายละเอียดช่องโหว่
ช่องโหว่ในฟอร์ม Username Recovery เก่าของ Google ที่ปิดการใช้งาน JavaScript มีการตอบกลับว่ามีบัญชีนี้หรือไม่ เมื่อกรอกเบอร์โทรและชื่อผู้ใช้ และขาดการป้องกันการโจมตีแบบ Abuse Protection ที่เหมาะสม เช่น CAPTCHA หรือ Rate limiting เมื่อใช้วิธีการ Bypass ด้วยเทคนิค IPv6 Rotation และใช้ BotGuard Token จากฟอร์มในเวอร์ชันที่เปิดการใช้งาน JavaScript ให้แฮกเกอร์สามารถส่ง Request จำนวนมากโดยไม่ถูกบล็อกได้ โดยขั้นตอนการโจมตีเบื้องต้นมีดังนี้:
- เริ่มต้นที่แฮกเกอร์มีอีเมลของเหยื่อ จะทำการหา Display Name ของเหยื่อโดยการใช้เครื่องมือ Looker Studio ของ Google โดยการสร้างเอกสารขึ้นมาแล้ว Transfer File Ownership ไปยังเหยื่อ ทำให้ Display Name ของเหยื่อแสดงออกมา
- หลังจากนั้นแฮกเกอร์ทำการใส่อีเมลของเหยื่อและเลือก Forget Password ของ Google เพื่อหา Country Code และเบอร์โทรของเหยื่อว่าลงท้ายด้วยเลขอะไร ซึ่งจะเห็นเลข 2 ตัวสุดท้าย
- สุดท้ายแฮกเกอร์จะเริ่มทำการโจมตี Brute-force เพื่อเดาตัวเลขที่เหลืออีก 6 หลัก โดยการส่ง HTTP POST Request ไปยัง Endpoint ของ Username Recovery เพื่อเช็คเบอร์โทรศัพท์ โดยจะสังเกตจาก Response ที่ระบบส่งกลับมา ถ้ามีการ Redirect ไปยัง URL /challenge จะแสดงว่าเป็นเบอร์ที่มีบัญชีอยู่จริง
ผลกระทบจากช่องโหว่
จากช่องโหว่ข้างต้นทำให้แฮกเกอร์สามารถหาหมายเลขโทรศัพท์ที่ผูกกับบัญชี Google ใดก็ได้ โดยไม่ต้องผ่านการ Authentication หรือ Authorization ใด ๆ และเมื่อแฮกเกอร์ได้เบอร์โทรที่เชื่อมกับบัญชี Google แล้ว แฮกเกอร์อาจใช้วิธี SIM Swapping เพื่อขโมยเบอร์และเข้ายึดบัญชี Google รวมถึงบัญชีอื่น ๆ ที่ใช้เบอร์นี้สำหรับ Authentication ได้อีกด้วย
คำแนะนำ
- หลีกเลี่ยงการเปิดเผยอีเมลและเบอร์โทรในที่สาธารณะ
- หมั่นตรวจสอบสิทธิ์การแชร์ไฟล์ Looker Studio เป็นประจำ และไม่รับหรือเปิดเอกสารจากผู้ที่ไม่รู้จัก
- เปิดใช้งาน Email/Push Notification สำหรับการเข้าถึง การเปลี่ยนเบอร์ หรือการร้องขอ recovery
- เปิดใช้งาน Multi-Factor Authentication (MFA) ในการเข้าสู่ระบบ
แหล่งอ้างอิง
https://thehackernews.com/2025/06/researcher-found-flaw-to-discover-phone.html
