구글 계정 복구 과정의 취약점: IPv6 및 BotGuard 토큰을 이용한 전화번호 무차별 대입 공격
2025-06-09
보안 연구원이 구글 계정 복구 프로세스의 취약점을 발견했습니다. 이 취약점을 통해 공격자는 전화번호 무차별 대입 공격을 수행하여 사용자 계정에 접근할 수 있습니다. 이 취약점은 자바스크립트를 비활성화해도 계정 복구 양식이 작동하는 점을 악용하여 IPv6 주소 순환 및 BotGuard 토큰을 사용하여 구글의 속도 제한과 CAPTCHA를 우회했습니다. 공격자는 먼저 Looker Studio를 통해 대상 사용자의 이름을 얻은 다음, 비밀번호 재설정 흐름을 사용하여 전화번호 접미사를 얻습니다. 그런 다음 사용자 지정 프로그램을 통해 프록시를 사용하여 무차별 대입 공격을 수행하여 전체 전화번호를 밝혀냅니다. 구글은 이 취약점을 이미 수정했습니다.
더 보기
기술
