6月10日，网络安全专家BruteCat报告了一种新的安全弱点，可以通过用户个人资料的个人资料和一些移动电话号码来揭示帐户手机号码的恢复。 BruteCat发现了Google用户名恢复表格的无JavaScript删除版本，而没有现代保护机制。凭借用户配置文件显示的名称（例如“ John Smith”），攻击可以是通过两个帖子请求与Google帐户关联的手机号码。 BruteCat使用IPv6来开发技术来生成大量唯一的IP地址，以便可以轻松击败表单的简单速率限制。同时，他通过替换参数并捕获有效的botguard令牌，成功地错过了Captcha验证。最后，他开发了一个“ GPB”布鲁克工具，该工具可以以每秒40,000个请求的速度快速破解手机号码。例如，美国编号饼干仅需20英国的几分钟，4分钟，在荷兰不到15秒。攻击需要目标电子邮件地址。尽管Google去年隐藏了邮箱，但Brutecat表示，可以通过创建Loker Studio文档并将所有权转移到目标的Gmail地址而不联系目标来获取目标的显示名称。此外，使用Google帐户恢复过程显示某些数字（例如2个数字）恢复数字，并附有来自其他服务（例如PayPal）的密码重置（例如PayPal），范围较窄。演示视频如下：BruteCat通过Google漏洞奖励计划（VRP）于2025年4月14日通过Google漏洞奖励计划（VRP）报告了此问题。Google首次审查了风险很低，但5月22日升级为“中等认真”，并向研究人员支付了5,000美元的奖励。 Google在6月6日证实，这完全离开了薄弱的结局，而攻击路径将是不可能的，但是如果它没有BEen剥削了这是不知道的。 【来源：这在家】
