Защита Google

[rustedowl]

Захожу в аккаунт Google, на котором не бывал некоторое время, а он мне в ответ - "что-то ты не с того устройства заходишь, смерд, подтверди-ка свой номер телефона!", попробовал еще два, того же времени создания - та же картина.
Я в офиге. В те времена я еще не вел табличку, где указывал на какой аккаунт я к какому номеру привязывал. Ну все, думаю, хана - просрался аккаунт.
Но потом решил попробовать... и ввел номер от СМС-розетки. Та послушно перекинула СМСку с кодом мне... и я зашел в аккаунт! Второй аккаунт из тех трех, но на этот раз скормил ему номер от какого-то сервиса бесплатного получения СМСок. Сработало! Он меня пустил.
Только вот какой вопрос: каким образом левый номер телефона идентифицирует меня как владельца данного аккаунта? Ответ прост - никак, логина-пароля более чем достаточно. Телефон гугл спрашивает "для себя".
Если добавить двухфакторную аутентификацию, которая не привязывается к номеру телефона (то есть, TOTP по RFC6238) то гугл начинает петь другую песню: подозрительная активность в аккаунте, введите номер телефона.
Естественно, номер телефона можно ввести любой.

Так что любая инфа, попавшая в гугл, остается у него в заложниках. Имейте в виду, если будете пользоваться его сервисами.