Kami sering membahas eksploitasi yang ditemukan oleh pelaku kejahatan, tetapi terkadang orang yang bermaksud baik menemukan masalah dengan layanan perusahaan untuk membantu mengamankan dirinya sendiri.
Seperti kasus seorang peneliti yang menemukan eksploitasi YouTube yang dapat membocorkan email semua orang.
YouTube Menghindari Eksploitasi yang Bisa Membocorkan Miliaran Email
Seperti yang dijelaskan peneliti keamanan BruteCat dalam laporan mereka, eksploitasi tersebut terjadi saat seseorang diblokir di YouTube.
Layanan tersebut mencantumkan semua pengguna yang diblokir pada satu halaman, dan saat BruteCat mengunjungi halaman tersebut dan melihat sumbernya, ia akan menampilkan pengenal Akun Google unik untuk setiap orang yang diblokir.
Mereka kemudian menemukan bahwa jika mereka mencegat permintaan server yang diaktifkan saat mereka mengklik menu tiga titik di samping seseorang dalam obrolan langsung, ia akan menampilkan ID sebagai bagian dari respons. Dengan begitu, mereka dapat memperoleh ID akun orang tanpa memblokirnya.
Jadi BruteCat dapat mengambil ID siapa pun, tetapi tidak ada yang dapat mereka lakukan untuk membocorkan informasi pribadi apa pun.
Mereka mulai mencoba produk Google lainnya untuk melihat apakah mereka dapat memasukkan ID ke dalam sistem dan mendapatkan sesuatu yang dapat diidentifikasi dan menyadari bahwa jika mereka menggunakan Pixel Recorder untuk mengirim permintaan untuk membagikan berkas suara kepada pengguna melalui ID mereka, server akan mengirimkan kembali email yang dilampirkan ke email tersebut.
Ini berarti mereka dapat mengambil alamat email siapa pun dari ID mereka, tetapi berbagi file dengan pengguna akan mengirimkan email kepada mereka. Untuk memperbaikinya, mereka menetapkan nama rekaman menjadi 2,5 juta huruf, terlalu banyak huruf untuk dimasukkan ke dalam email.
Benar saja, mereka tetap mendapatkan email saat membagikan file suara, tetapi tidak ada pemberitahuan yang dikirim. Mereka kemudian membuat skrip Python yang mengotomatiskan semuanya; saat diberi ID, skrip tersebut mengembalikan alamat.
Jika ini jatuh ke tangan yang salah, penipu akan mendapatkan banyak sekali email pengguna, pembuat konten, dan siapa pun di YouTube. Namun, karena BruteCat adalah peretas etis, mereka malah merinci masalah tersebut ke Google, yang memperbaiki masalah tersebut dan memberi BruteCat $10.000.
Jika Anda juga ingin dibayar untuk membobol keamanan perusahaan, ada kursus peretasan etis untuk pemula yang dapat dicoba, dan Anda juga dapat membaca sertifikasi Certified Ethical Hacker (CEH). Jangan menyerang perusahaan tanpa izin mereka; di situlah letak batasan antara peretasan etis dan peretasan kriminal.
