Специалист по безопасности Дмитрий Евтеев в своем блоге обратил внимание на потенциальную проблему с утечкой личной информации через форму восстановления забытого пароля. А именно, таким образом можно узнать личный номер любого пользователя, который зарегистрирован в нескольких сервисах: Facebook, Gmail, «Вконтакте» или других, которые тоже высылают код подтверждения на мобильный телефон.
Номер телефона в международном формате +7(234)5678901 содержит 11 цифр. При восстановлении чужого пароля «Вконтакте» сообщает первые семь цифр номера,
...а Facebook — последние четыре цифры.
Как будто две социальные сети сговорились, чтобы выдать номер целиком.
Получается, что достаточно знать адрес электронной почты пользователя. И если он зарегистрирован в обеих социальных сетях и указал свой номер — то этот личный номер без проблем разглашается любому желающему.
Даже связка аккаунтов «Вконтакте» + Gmail дает хороший результат, потому что Gmail сообщает две последние цифры номера.
В результате остаются неизвестными еще две цифры и получается, что достаточно перебрать всего 100 вариантов.
