كشف باحثان أمنيان النقاب عن ثغرة أمنية خطيرة في واجهة برمجة التطبيقات API الخاصة بكل من يوتيوب وPixel Recorder تعرض عناوين البريد الإلكتروني للمستخدمين.

وقالت "غوغل" إنها أصلحت الثغرة والتي من خلالها يحصل المهاجمون على معرفات "غوغل غايا" Google Gaia، ومن ثم يعرفون عناوين البريد الإلكتروني الخاصة بالمستخدمين.

ويُعد معرفة عنوان البريد الإلكتروني التابع لقناة على اليوتيوب خطرا كبيرا على خصوصية المستخدمين؛ لا سيما صُناع المحتوى والمبلغين عن المخالفات والنشطاء الذين يحرصون على إبقاء هوياتهم مجهولة على الإنترنت.

وأوضح الباحثان الأمنيان أن الجزء الأول من الهجوم؛ والذي كان متاحا للاستغلال منذ شهر، حيث وجد أن حظر مستخدم ما على يوتيوب يكشف عن معرف داخلي فريد تستخدمه غوغل في جميع منصاتها مثل "جي ميل" و"درايف" وغيرهما والذي يسمى Gaia ID ولكل مستخدم معرف خاص به.

ونبها إلى أن النقر على الثلاث نقاط للوصول إلى زر الحظر في ملف محادثة المستخدم يؤدي إلى تشغيل طلب واجهة برمجة التطبيقات والذي يكشف بدوره عن "Gaia ID" الخاص بالمستخدم.

ويُعد هذا الإجراء رغم بساطته ثغرة أمنية خطيرة لأنها تكشف عن المعرفات الخاصة بحسابات "يوتيوب" والتي يُفترض استخدامها داخليا فقط.

ولكن بعد أن تمكن الباحث الأمني من استخراج "Gaia ID" الخاصة بالمستخدمين، شرع في معرفة ما إذا كان بإمكانه الكشف عن عناوين البريد الإلكتروني المرتبطة بكل معرف.

وافترض الباحثان أنهما يستطيعان القيام بذلك باستخدام منتجات غوغل القديمة والمنسية لأنها ربما قد تحتوي على بعض الأخطاء أو العيوب لتحويل "Gaia ID" إلى عناوين بريد إلكتروني.

وباستخدام تطبيق "بيكسل ريكوردر" الخاص بشركة غوغل، اختبر الباحثان مشاركة تسجيل يحتوي على "غايا آي دي" مشفر ومنعوا المستخدم من تلقي إشعار بالبريد الإلكتروني عن طريق إعادة تسمية الملف باسم مكون من 2.5 مليون حرف، مما أدى إلى تعطيل نظام إشعار البريد الإلكتروني نظرا لطوله الشديد.

وبما أن الضحية الافتراضية لن تتلقى إشعارا، أرسل الباحثان طلب مشاركة الملف مع معرف "غايا آي دي" مما أدى إلى تحويل المعرف إلى عنوان بريد إلكتروني بالفعل.

وبفضل الباحثين الأمنيين تمكنت غوغل من إغلاق الثغرة ومنع المتسللين من الوصول إلى عناوين البريد الإلكتروني المرتبطة بحسابات يوتيوب.

ولكن رغم اكتشاف الثغرة في سبتمبر/ أيلول الماضي، فإن غوغل أصلحتها في 9 فبراير/شباط الجاري، كما أكدت عدم وجود أي علامات تدل على استغلال هذه الثغرة بشكل فعّال.