Google ha tenido un problema, que podemos considerar importante, en el que ha estado filtrando números de teléfono. Concretamente, los números vinculados a las cuentas de los usuarios. Esto, lógicamente, compromete la privacidad y puede ser una vía de entrada para los piratas informáticos, para que puedan lanzar campañas de malware muy variadas. Vamos a explicarte qué debes hacer para protegerte ante problemas de este tipo.
Lo que ha ocurrido es que había una vulnerabilidad, ya corregida, que permitía que alguien, a través de fuerza bruta, accediera al número de recuperación de una cuenta de Google. Lo único que necesitaba era conocer el nombre de perfil y un número de teléfono parcial que podía recuperar con facilidad.
Google ha filtrado números
Concretamente, todo se debe a una versión obsoleta del formulario de recuperación del nombre de usuario de Google. No tenía protecciones reales para prevenir ataques de fuerza bruta, por lo que daba una clara ventaja a los cibercriminales que quisieran explotar el fallo. Fue descubierto por un investigador de seguridad informática conocido como BruteCat.
En RedesZone, nos hicimos eco de un fallo que permitía exponer las direcciones de correo electrónico de las cuentas de YouTube, algo que detectaron hace apenas unos meses. También fue descubierto por BruteCat, el que ahora ha informado de este fallo que ha provocado que Google exponga los números de teléfono.
Hay que tener en cuenta que lo que ha estado expuesto es el número que se utilizó para configurar la cuenta de Google y usarlo como recuperación. Esto quiere decir que no siempre va a coincidir con el número real, el principal, de los usuarios. No obstante, lo normal es que todos tengamos puesto nuestro único número de teléfono, que sería el que tenemos vinculado a la cuenta de Google.
Lo que descubrió BruteCat, es que podía acceder a un formulario de recuperación antiguo, obsoleto, sin JavaScript. Básicamente, permitía que cualquiera pudiera comprobar si un número de teléfono en concreto, estaba o no asociado a una cuenta de Google, en función del nombre de usuario. Para eludir ciertas medidas básicas de seguridad, utilizó la rotación de direcciones IPv6, generar muchísimas direcciones IP únicas y así poder probar y probar. También fue capaz de eludir los CAPTCHA que aparecían.
Unos minutos en conseguir un número
Con todo esto, era capaz de probar, mediante fuerza bruta, hasta 40.000 números cada segundo. Lógicamente, en función de la población de un país, podía tardar más o menos en averiguar cuál es el número vinculado a una cuenta. No es lo mismo un país como Estados Unidos, con más de 300 millones de personas, que España, con cerca de 50 millones o Malta, con poco más de medio millón.
En el caso de EEUU, podía tardar unos 20 minutos en averiguar un número. Para un teléfono español, tardaría algo menos de 4 minutos. En cualquier caso, sin importar el país, estamos hablando de unos minutos para poder averiguarlo. Y lo único que necesitaba era saber la dirección de correo electrónico, para poder asociarla a un nombre de perfil y, posteriormente, utilizar el número parcial para diferenciar entre nombres similares.
Sin duda, esto puede exponer la seguridad de los usuarios. Al saber el número de teléfono vinculado a una cuenta, puede dar lugar a ataques Phishing más personalizados, capaces de comprometer las contraseñas. Incluso puede dar lugar a ataques conocidos como SIM Swapping o clonación de tarjetas SIM.
Por suerte, Google ya ha mejorado la seguridad para prevenir este problema. BruteCat informó a Google de este problema, mediante el programa de recompensas por detectar errores, y, aunque al principio lo veían como de riesgo bajo, posteriormente consideraron que era algo de gravedad media y realizaron cambios. Actualmente, ya no es posible averiguar un número vinculado a la cuenta de Google, mediante este método.
Como usuario, no tienes que hacer nada, ya que es un cambio realizado por Google. Lo que sí debes estar, como siempre, atento a cualquier SMS extraño que puedas recibir o un correo donde puedan robar tus datos. No des información en sitios que no sean de confianza, nunca inicies sesión a través de un link que te llegue por mensaje y asegúrate de tener tus dispositivos bien protegidos.
Más allá de este problema que ha afectado a Google, te recomendamos proteger siempre tu móvil y no dar facilidades a los atacantes. Si se filtra en la red, podría terminar en la Dark Web, a la venta, y eso va a suponer que te inunden con SMS falsos, intentos de Phishing y otros problemas. Podrían suplantar tu identidad, por lo que es fundamental tener cuidado con dónde pones el número y no cometer errores.
Esto es similar a lo que ocurriría si se filtra la dirección de e-mail. También podrías empezar a recibir correos falsos, intentos de estafa y ver que tu seguridad se ve comprometida. Como en el caso del número de teléfono, te recomendamos que limites la exposición y, en caso de dudas, uses una dirección secundaria y no la principal. Con esto, podrás evitar muchos problemas.