Se una grande azienda come Google vuole continuare ad essere visto da tutti gli utenti che utilizzano quotidianamente i suoi servizi e che con tutta la loro privacy e documentazione si affidano come una delle aziende più sicure al mondo, devono verificare che la loro sicurezza sia veramente garantita. Uno dei modi in cui Google può verificare che i suoi sistemi siano sicuri è tramite programma premi per cui chiunque è invitato a trovare una falla di sicurezza. A seconda della gravità, la persona che lo scopre può vincere fino a Dollari 20.000.
Grazie proprio a programmi come questo sono tanti gli utenti specializzati in sicurezza che lavorano praticamente ogni giorno per trovare qualsiasi tipo di problema, segnalarlo e così, da un lato, Google li ripara praticamente subito e loro stessi possono guadagnare qualche soldo facendo quello che vogliono la maggior parte vuole. Questa volta ti devo parlare ahmed mehtab, CEO di Security Fuss e ricercatore pakistano che ha appena trovato un problema di sicurezza piuttosto grande nel processo di verifica di Gmail.
Ahmed Mehtab rivela il processo necessario per rubare un account Gmail.
Come è stato commentato, senza la necessità di una grande conoscenza dell'IT e della sicurezza, qualsiasi utente potrebbe prendere il controllo di un account in particolare utilizzando una semplice procedura. Innanzitutto, affinché questa azione venga eseguita, il destinatario SMTP non può essere connesso, l'account è stato disattivato, il destinatario ha precedentemente bloccato il mittente, oppure non esiste l'ID a cui inviare il messaggio di conferma.
Se una di queste quattro condizioni è soddisfatta, l'utente che desidera rubare l'account potrà confermare la proprietà dell'email inviando un'email a Google. Il motore di ricerca invia automaticamente una risposta a detto indirizzo per conferma, poiché l'indirizzo non è in grado di ricevere l'email di conferma, viene restituito un messaggio all'originale con un codice per recuperare l'account. In questo modo, l'attaccante può assumere il controllo di detto account.
Per maggiori informazioni: Techworm