Gmail: Google-Fehler ließ Sammeln von Mail-Adressen zu

Seit heute gibt es neue Details über eine mittlerweile geschlossene Google-Lücke. Über diese Lücke war es Angreifern möglich, E-Mail-Adressen von Google-Nutzern auszulesen. In Kurzform, vereinfacht runtergebrochen (Details auf der Homepage): man kann mit einem Google-Konto auch Mails aus anderen Konten empfangen. Delegation quasi. Übergibt man das Recht, ein Google-Konto Mail-technisch abzufragen, so muss dies vom Ursprungkonto bestätigt werden. Sicher ist sicher. Diese generierte Sicherheitsabfrage kann man nun bestätigen oder ablehnen.

Aktivieren Sie JavaScript um das Video zu sehen.
Video-Link: https://www.youtube.com/watch?v=bMmp-mx_03Q

Lehnt man sie ab, so gelangt man auf eine Übersichtsseite, auf der noch einmal die E-Mail-Adresse zu sehen ist. Diese Seite hat eine spezifische URL mit einer Kombination aus Zahlen und Buchstaben. Diese Seite ist von jedermann aufrufbar, also nicht geschützt. Orin Hafif fand heraus, dass das Relevante in der URL ein Token ist. Er startete eine Attacke, bei der einfach Token ausprobiert wurden – Zahlenkolonnen. Die Ergebnisse, die Google über diese Seiten mit dem neuen Token auswarf, hielt er fest. Ergebnis? 37.000 E-Mail-Adressen. Dann hörte er auf. Die Belohnung von Google? 500 Dollar. Schlimme Lücke? Ansichtssache: Spammer verschicken nach Trial & Error-Prinzip täglich Millionen von E-Mails, irgendeine wird schon einen Empfänger finden.

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

caschy

Hallo, ich bin Carsten! Baujahr 1977, Dortmunder im Norden, BVB-Getaufter und Gründer dieses Blogs. Auch zu finden bei Twitter, Google+, Facebook, Instagram und YouTube. PayPal-Kaffeespende. Mail: carsten@caschys.blog

Das könnte dir auch gefallen…

Mit dem Absenden eines Kommentars willigst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.

3 Kommentare

  1. 500 Dollar? Ich dachte dass man bei Google normalerweise mehr bekommt, sogar bei einer XSS-Lücke.

  2. Die Fotos meines Smartphones die auf Google+ gesichert werden, sind auch durch eine URL mit Buchstaben und Zahlen von jedermann einsehbar.
    Da kann man auch anfangen, mögliche Tokens auszuprobieren und bekommt unter Umständen ganz interessante Privatbilder von Leuten zu sehen.

  3. Die ersten 3 Sätze dieses Artikels sollten nochmal überarbeitet werden. Liest sich so, als könnte man durch die Lücke Mails aus anderen Konten abrufen…

Du willst nichts verpassen?
Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den Hauptfeed abonnieren. Alternativ könnt ihr euch via E-Mail über alle neuen Beiträge hier im Blog informieren lassen. Einfach eure E-Mail-Adresse hier eingeben, dann bekommt ihr 1x täglich morgens eine Zusammenstellung. Mit dem Absenden willigst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.
Wir benutzen Cookies um die Nutzerfreundlichkeit der Webseite zu verbessern. Durch Deinen Besuch stimmst Du dem zu.