Tìm thấy lỗ hổng trên YouTube có thể làm rò rỉ email của mọi người dùng

Chúng ta thường đề cập đến các lỗ hổng do những kẻ xấu tìm thấy, nhưng đôi khi những người có thiện chí sẽ tìm ra các vấn đề với dịch vụ của công ty để giúp tăng khả năng bảo mật. Gần đây, một nhà nghiên cứu đã tìm thấy một lỗ hổng trên YouTube có thể làm rò rỉ email của mọi người.

YouTube xuất hiện một lỗ hổng có thể làm lộ hàng tỷ email

Như nhà nghiên cứu bảo mật BruteCat đã mô tả trong báo cáo của mình, lỗ hổng này xảy ra khi ai đó bị chặn trên YouTube. Dịch vụ này liệt kê tất cả người dùng bị chặn trên một trang duy nhất và khi BruteCat truy cập trang và xem nguồn, nó sẽ hiển thị mã định danh tài khoản Google duy nhất cho tất cả những người họ chặn.

Sau đó, họ phát hiện ra rằng nếu chặn được yêu cầu máy chủ được kích hoạt khi nhấp vào menu ba chấm bên cạnh ai đó trong cuộc trò chuyện trực tiếp, nó sẽ hiển thị ID như một phần của phản hồi. Theo cách đó, họ có thể thu thập ID tài khoản của mọi người mà không cần chặn họ.

Vì vậy, BruteCat có thể lấy ID của bất kỳ ai, nhưng họ không thể làm gì với điều đó để rò rỉ bất kỳ thông tin cá nhân nào. Họ bắt đầu thử nghiệm các sản phẩm khác của Google để xem liệu có thể đưa ID vào hệ thống và nhận được thông tin có thể nhận dạng được hay không và thấy rằng nếu họ sử dụng Pixel Recorder để gửi yêu cầu chia sẻ file âm thanh cho người dùng thông qua ID của họ, máy chủ sẽ gửi lại email được đính kèm vào email.

Điều này có nghĩa là họ có thể thu thập địa chỉ email của bất kỳ ai từ ID của họ nhưng không thể chia sẻ file với người dùng đã gửi email cho họ. Để khắc phục điều này, họ đặt tên bản ghi âm dài 2,5 triệu chữ cái, quá nhiều để có thể đưa vào một email.

Quả thực, họ vẫn nhận được email khi chia sẻ file âm thanh, nhưng không có thông báo nào được gửi đi. Sau đó, họ tạo một script Python tự động hóa mọi thứ; khi được cung cấp ID, nó sẽ trả về một địa chỉ.

Nếu điều này rơi vào tay kẻ xấu, những kẻ lừa đảo sẽ có một ngày bận rộn khi thu thập email của người dùng, người sáng tạo nội dung và bất kỳ ai khác trên YouTube. Tuy nhiên, vì BruteCat là một hacker mũ trắng, nên thay vào đó, họ đã nêu chi tiết vấn đề với Google, Google đã khắc phục sự cố và trao cho BruteCat 10.000 USD.

Nếu bạn cũng muốn nhận được tiền thưởng cho việc phát hiện lỗi, có các khóa học hack đạo đức dành cho người mới bắt đầu và bạn cũng có thể tìm hiểu về chứng chỉ Hacker đạo đức được chứng nhận (CEH). Chỉ cần không đi khắp nơi tấn công các công ty mà không có sự cho phép của họ; đó chính là ranh giới giữa hacker mũ trắng và tội phạm mạng.