Paypal je populární online platební systém a s velkým přijetím téměř ve všech zemích kromě jiné platební systémy, jako je Google Pay, vytvoří odkaz mít možnost platit prostředky nalezenými na účtech Paypal, které, pokud se nepočítají, převezmou prostředky z propojených debetních nebo kreditních karet.
To může být poněkud matoucí, když můžete jednoduše platit svými kartami a je to, ale mnoho lidí dává přednost platbám tímto způsobem, aby se zabránilo klonování jejich plastů, nebo jednoduše proto, že to, co chtějí platit, je tak snadné (obvykle online ).
Ale zdá se, že to způsobilo mnohem větší problém tolik lidé začali hlásit, že objevili neoprávněné platby s vaším účtem PayPal na různých platformách, jako jsou fóra PayPal nebo Twitter, z nichž všechny Zprávy mají společné to, že všichni používali integraci Google Pay s PayPal.
Od tohoto pátku 21. února se ve vaší historii PayPal objevují transakce, které někdy přesahují tisíc eur, jako by pocházely z vašeho účtu Google Pay.
Jedna z obětí na Twitteru uvedla, že si všimla neobvyklého nákupu tří párů AirPodů, za ekvivalent 500 $. Nákup tedy není možné zrušit. Odhadované škody se podle veřejných zpráv v současnosti pohybují v řádu desítek tisíc eur.
Podle Markuse Fenskeho, výzkumník v oblasti kybernetické bezpečnosti s aliasem „iblue“ na Twitteru, Hackeři využili chybu v integraci Google Pay s PayPal. Na Twitteru expert tvrdí, že společnost varoval před existencí porušení v únoru 2019, ale skupina z toho neurčila prioritu.
Když je účet PayPal propojen s účtem Google Pay, PayPal vytvoří virtuální kreditní kartu, s číslem vaší vlastní karty, datem vypršení platnosti a CVV, říká Fenske.
«PayPal umožňuje bezkontaktní platby prostřednictvím Google Pay. Pokud ji nakonfigurujete, můžete si přečíst podrobnosti o kartě virtuální kreditní karty z mobilu. Ověření není vyžadováno, “lituje Markus Fenske.
Za těchto podmínek hackeři mohou shromažďovat data z virtuálních karet. Díky těmto údajům nemá hacker potíže s nákupy v obchodě na svém účtu.
Příjemci transakcí jsou často Target obchody, na které se odkazuje v prohlášeních ve tvaru „Target T-“. Vyhledávání Google identifikuje umístění těchto různých obchodů poměrně rychle.
Vyšetřovatel uvedl, že by útočník mohl získat podrobnosti třemi způsoby virtuální karty.
Nejprve si přečtěte podrobnosti o kartě na telefonu nebo obrazovce uživatele. Zadruhé malwarem infikujícím zařízení uživatele. Nakonec hádám.
„Je možné, že útočník jednoduše vynutil číslo karty a datum vypršení platnosti, které je v rozmezí zhruba jednoho roku,“ uvedlo Fenske. „Díky tomu je poměrně malý výzkumný prostor. A objasnit, že „na CVC nezáleží“, s vysvětlením, že „vše je přijato.“
Ještě předtím, než byla zranitelnost zneužita, hackeři vytvořili článek o stížnostech o manipulaci s bezpečnostními otvory nalezenými PayPal. LKritika je, že PayPal nabízí program odměn chyba přes HackerOne, ale toto je čistá fasáda.
Autoři článku uvedli, že hlásili několik chyb zabezpečení, ale odpovědi PayPalu byly něco jiného než užitečné. Například jedna ze zmíněných mezer vám umožní obejít 2FA, další vám umožní zaregistrovat nový telefon bez kódu PIN.
Fenske tomu věří harakové našli způsob, jak zjistit podrobnosti o těchto „virtuálních kartách“ a používají údaje o kartě pro neoprávněné transakce v amerických a německých obchodech (většina obětí je v Německu).
Děkuji za informaci!
Mám rád tyto typy článků, informativní, o bezpečnosti.