La autenticación de dos pasos es una forma de asegurar y dar mayor seguridad a nuestras buenas, pero ¿Qué pasa cuando las aplicaciones que usamos son inseguras?. Esa inseguridad a la que tanto tenemos fue lo que hizo que un hacker fuera capaz de poder acceder a la cuenta de un usuario a través de una aplicación de Google y deshabilitar este filtro de seguridad.
La vulnerabilidad encontrada en un XSS en la consola de administración de Google Apps permitió que el atacante enviara solicitudes a través del dominio admin.google.com dándole privilegios para poder gestionar las cuentas de la organización.
Los administradores de Google Apps tienen todos los permisos para gestionar las cuentas de los usuarios, especialmente para negocios o empresas grandes. Pero el fallo en Google Apps hizo que el atacante creara otra cuenta con rangos especiales, deshabilitara la 2FA, modificar las configuraciones de correo para reenviarlos a una cuenta controlada por el atacante y otro tipo de ajustes.
En bug fue reportado a Google y corregido 17 días más tardes. En compensación la compañía de Mountain View pagó al ingeniero en seguridad la suma de 5,000 dólares.