O Google não está preparado para manter a sua conta segura

Imagine que você tem o seu celular roubado. Provavelmente, a sua primeira preocupação será com o seu aplicativo de banco — ainda mais se a tela estiver desbloqueada. Porém, a sua conta do Gmail também pode estar em risco quando o seu dispositivo é furtado e o assaltante tem todo acesso liberado ao smartphone.

Sem colocar uma autenticação de dois fatores (ou no meu teste, até com 2FA) e usando o próprio telefone como modo de recuperação, você pode perder acesso a sua conta Google. Para muitos casos, perder esse acesso tem o mesmo peso que ter a conta bancária acessada pelo smartphone. O motivo disso é que a conta Google é usada por muitas pessoas como login em diversos serviços.

A falha foi apresentada ao Tecnoblog por um leitor, que divulgou também o passo a passo de como realizar a mudança de senha. Porém, discutimos que seria melhor não mostrar as etapas necessárias para essa mudança. Além de casos de furtos e roubos, esse processo de troca de senha pode ser usado contra vítimas de relacionamentos tóxicos e abusivos.

Em um momento de desatenção, a vítima pode perder a senha e não se dar conta disso, já que o abusador pode refazer rapidamente o login nas contas Google do smartphone e computador. Em outros casos, criminosos mais “experientes” podem usar esses celulares para aplicar golpes. Por exemplo, um golpista pode, após remover o acesso da vítima ao Gmail em outros dispositivos, trocar as senhas de redes sociais e pedir dinheiro.

No total, foram realizados quatro testes por conta própria: dois deles com uma conta no iOS 15 e dois com a conta da minha própria mãe (já falecida). O método mais demorado envolveu usar o navegador e o celular desbloqueado. Já o mais rápido foi no aparelho da minha mãe, um Android 12. Na prática, também nem precisamos mostrar como fazer isso porque é muito fácil de descobrir por conta própria.

Fizemos mais dois testes no iOS 16 e Android 13. Esses métodos pareceram mais seguros e deram um prazo de recuperação de 72 horas para enviar o código. Em comum, todos eles foram com contas com 2FA.

Fonte: Tecnoblog