Ciberseguridad

Una vulnerabilidad en el sistema de recuperación de cuentas de Google, descubierto en 2025 y ya corregido, permitió durante meses que atacantes pudieran enumerar sistemáticamente números de teléfono asociados a cuentas de Google con un nivel de precisión alarmante. La vulnerabilidad se encontraba en un rincón poco observado del gigante tecnológico: el formulario de recuperación de nombre de usuario sin soporte para JavaScript, una reliquia funcional que escapó a las protecciones modernas de seguridad web.

El hallazgo, notificado por un investigador independiente, demuestra que incluso las empresas con estándares de seguridad elevados como Google pueden verse comprometidas por mecanismos heredados que operan fuera de los entornos habituales de vigilancia.

La puerta trasera: JavaScript desactivado

Todo comenzó cuando el investigador descubrió que el formulario de recuperación de nombre de usuario seguía funcionando incluso con JavaScript desactivado, contradiciendo los principios de seguridad que Google había implementado desde 2018, cuando comenzó a exigir mecanismos como BotGuard para prevenir automatizaciones.

Esto significaba que las protecciones contra bots, como reCAPTCHA y validaciones dinámicas, quedaban inutilizadas en este formulario específico, dejando el campo abierto a técnicas de fuerza bruta automatizada. 

Aunque Google actuó con rapidez tras la denuncia, la existencia de esta vulnerabilidad durante años recuerda a los responsables de seguridad —tanto en el sector público como privado— que la revisión continua de los sistemas heredados no es opcional, sino esencial.

La mecánica del ataque

El ataque completo se estructuró en tres pasos y requirió apenas herramientas básicas, una pequeña inversión económica y un conocimiento profundo del funcionamiento interno de los formularios de Google:

1. Generación del valor «ess»
   Se iniciaba enviando un número de teléfono a la API de recuperación, lo que generaba un token conocido como ess, usado para verificar si existía una cuenta asociada.

2. Obtención del nombre para verificar coincidencias
   Con ese ess, los atacantes podían comprobar si el número correspondía a una cuenta con un nombre determinado. El investigador reveló que era posible filtrar estos nombres creando documentos en Google Looker Studio y transfiriéndolos a los usuarios objetivo, lo que permitía visualizar sus nombres de cuenta.

3. Brute-force de números de teléfono
   A partir de los últimos dígitos mostrados por el flujo de “olvidé mi contraseña” (por ejemplo, “– – – – – – – – 03”), los atacantes podían generar combinaciones válidas siguiendo las reglas de numeración locales. Con su herramienta personalizada llamada «gpb», el investigador logró probar hasta 40.000 combinaciones por segundo, utilizando hardware de consumo que costaba apenas $0,30 por hora.

En Estados Unidos, el proceso requería alrededor de 15 a 20 minutos para descifrar los dos últimos dígitos de un número. En países con menos combinaciones posibles, como Singapur, los ataques podían completarse en menos de 5 segundos.

Además, otros servicios que ofrecen pistas parciales (como PayPal) podían acelerar el proceso al proporcionar más dígitos conocidos.

Evadiendo las protecciones

Aunque en un principio el sistema parecía contar con limitaciones por IP y desafíos CAPTCHA, el investigador evadió estas barreras utilizando rotación de direcciones IPv6. Al explotar el espacio prácticamente ilimitado de direcciones disponible en un rango /64 (más de 18 quintillones de IPs), logró eludir el control de velocidad sin levantar alertas.

El punto de inflexión llegó cuando el investigador reemplazó el parámetro “js_disabled” en las solicitudes por tokens legítimos de BotGuard obtenidos en formularios con JavaScript activado. Así, el sistema aceptaba las peticiones sin aplicar restricciones.

Inicialmente, Google consideró la probabilidad de explotación como baja y otorgó una recompensa simbólica de $1,337 dólares más productos promocionales. Sin embargo, tras una apelación en la que el investigador demostró la viabilidad real del ataque a gran escala —y su capacidad para pasar completamente desapercibido—, Google aumentó la recompensa a $5.000 dólares.

La empresa aplicó parches inmediatas y confirmó en junio de 2025 que el formulario vulnerable había sido completamente retirado de su sistema. Con ello, la cadena de ataque quedó desactivada.