Hati-hati jika Anda melakukan pembayaran dengan Google Pay menggunakan dana Paypal Anda

Paypal adalah sistem pembayaran online yang populer dan dengan penerimaan yang besar di hampir semua negara selain sistem pembayaran lain seperti Google Pay membuat link untuk membayar dengan dana yang ditemukan di akun Paypal, yang pada gilirannya, jika tidak dihitung, mengambil dana dari kartu debit atau kredit yang ditautkan.

Ini bisa agak membingungkan ketika Anda cukup membayar dengan kartu Anda dan hanya itu, tetapi banyak orang lebih suka melakukan pembayaran dengan cara ini untuk mencegah plastik mereka dikloning atau hanya karena apa yang ingin mereka bayar memiliki kemudahan itu (umumnya online) .

Pir tampaknya hal ini menimbulkan masalah yang jauh lebih besar sebanyak itu orang-orang mulai melaporkan bahwa mereka menemukan pembayaran yang tidak sah dengan akun PayPal Anda di berbagai platform, seperti forum PayPal atau Twitter, yang semuanya Laporan tersebut memiliki kesamaan bahwa mereka semua menggunakan integrasi Google Pay dengan PayPal.

Sejak Jumat ini, 21 Februari, transaksi yang terkadang melebihi seribu euro muncul di riwayat PayPal Anda, seolah-olah transaksi tersebut berasal dari akun Google Pay Anda.

Salah satu korban di Twitter mengatakan dia melihat pembelian yang tidak biasa dari tiga pasang AirPods, dengan harga yang setara dengan $ 500. Oleh karena itu, pembelian tidak dapat dibatalkan. Perkiraan kerusakan saat ini mencapai puluhan ribu euro, menurut laporan publik.

Menurut Markus Fenske, seorang peneliti keamanan siber dengan alias "iblue" di Twitter, Para peretas mengeksploitasi kelemahan dalam integrasi Google Pay dengan PayPal. Di Twitter, pakar tersebut mengklaim telah memperingatkan perusahaan tentang adanya pelanggaran pada Februari 2019, tetapi grup tersebut belum menjadikannya sebagai prioritas.

Saat akun PayPal ditautkan ke akun Google Pay, PayPal membuat kartu kredit virtual, dengan nomor kartu Anda sendiri, tanggal kedaluwarsa, dan CVV, kata Fenske.

«PayPal memungkinkan pembayaran nirsentuh melalui Google Pay. Jika Anda mengkonfigurasinya, Anda dapat membaca detail kartu dari kartu kredit virtual dari ponsel. Otentikasi tidak diperlukan, ”sesal Markus Fenske.

Dalam kondisi seperti ini, peretas dapat mengumpulkan data dari kartu virtual. Berkat data ini, seorang peretas tidak mengalami kesulitan melakukan pembelian di toko dengan akunnya.

Penerima transaksi sering kali adalah toko Target, yang direferensikan dalam deklarasi dalam bentuk "Target T-". Pencarian Google mengidentifikasi lokasi berbagai toko ini dengan cukup cepat.

Penyelidik mengatakan mungkin ada tiga cara penyerang bisa mendapatkan rinciannya dari kartu virtual.

Pertama, dengan membaca detail kartu di ponsel atau layar pengguna. Kedua, dengan malware yang menginfeksi perangkat pengguna. Akhirnya menebaknya.

"Bisa jadi penyerang hanya memaksakan nomor kartu dan tanggal kedaluwarsa, yang berkisar sekitar satu tahun," kata Fenske. 'Ini menjadikannya ruang penelitian yang cukup kecil. Dan untuk mengklarifikasi bahwa "CVC tidak penting", menjelaskan bahwa "Semuanya diterima."

Bahkan sebelum kerentanan dieksploitasi, para peretas membuat artikel tentang pengaduan tersebut tentang menangani lubang keamanan yang ditemukan oleh PayPal. LKritiknya adalah PayPal menawarkan program hadiah kesalahan melalui HackerOne, tapi ini adalah fasad murni.

Penulis artikel tersebut mengatakan bahwa mereka melaporkan beberapa kerentanan, tetapi tanggapan PayPal sama sekali tidak membantu. Misalnya, salah satu celah yang disebutkan memungkinkan Anda melewati 2FA, celah lain memungkinkan Anda mendaftarkan telepon baru tanpa PIN.

Fenske percaya itu para Hagaks telah menemukan cara untuk menemukan detail dari "kartu virtual" ini dan mereka menggunakan detail kartu untuk transaksi tidak sah di toko-toko Amerika dan Jerman (sebagian besar korban berada di Jerman).