YouTube ha estado a punto de filtrar los correos de todos sus usuarios: así lo han evitado
Los responsables de las diferentes plataformas y aplicaciones online que en ocasiones usamos a diario, son plenamente conscientes de las precauciones que deben tomar. Todo ello con el fin de salvaguardar la seguridad y privacidad de sus usuarios, como por ejemplo sucede con YouTube.
Muchos de sus clientes comparten información sensible y privada de manera online, que debe protegerse a toda costa. Sin embargo, estas compañías que os mencionamos no siempre tienen el éxito esperado en un principio. Os contamos todo esto porque, tal y como hemos sabido ahora, el popular portal streaming de vídeos de Google, YouTube, estuvo a punto de cometer un grave error.
La principal razón de todo ello es que la popular plataforma estuvo peligrosamente cerca de filtrar todos los correos electrónicos de sus usuarios, aunque finalmente consiguió subsanarlo. Y es que en ciertas ocasiones se hacen públicos determinados fallos de seguridad encontrados por los atacantes. Al mismo tiempo, también hay personas bienintencionadas que localizan estos problemas antes que nadie y toman la decisión de ayudar a las empresas para protegerse, como sucede en el caso que nos ocupa.
Aquí os hablamos de un investigador que encontró un exploit en el sitio web de YouTube que podría haber filtrado los correos electrónicos de todo el mundo registrado aquí. Hablamos de cientos de millones de usuarios en todo el mundo. Tal y como hemos podido conocer ahora, la vulnerabilidad se produjo cuando alguien fue bloqueado en el propio YouTube. El servicio online añade a todos los usuarios bloqueados en una única página, donde además se mostraba el identificador único de la cuenta de Google de todas las personas que se bloqueaban en la plataforma de vídeo.
Así fue el fallo de seguridad de YouTube
Así y por esta razón, los investigadores de seguridad descubrieron que si interceptaban una solicitud del servidor que se lanzaba al pinchar en el menú de tres puntos, se mostraba el identificador como parte de la respuesta. De ese modo, los actores maliciosos podían obtener los identificadores de las cuentas de los usuarios de YouTube sin necesidad de bloquearlos.
La persona que descubrió este fallo se dio cuenta de que podía hacerse con el ID de cualquier usuario registrado en la plataforma streaming. Enseguida se dio cuenta de que tenía el alcance de la mano información personal de todos aquellos registrados en YouTube. Empezó a probar con otros productos de Google para ver si podían usar ese ID en el sistema, todo ello con éxito. Esto significaba que podían obtener la dirección de correo electrónico de cualquier usuario a partir de su identificador.
Eso sí, al compartir un archivo con el usuario en sí, se le enviaba un correo electrónico. De todo ello, se dedujo que si esto cayera en las manos equivocadas, los atacantes podrían hacerse con los correos electrónicos de todos los usuarios, incluyendo a los creadores de contenido, de YouTube. A partir de ahí, el experto en seguridad que descubrió esta vulnerabilidad, un hacker ético llamado BruteCat, detalló el problema a Google.
A partir de ahí, el gigante de las búsquedas, por supuesto solucionó el error y pagó al experto en seguridad un montante de 10.000 dólares.
