Paypal è un popolare sistema di pagamento online e con grande accettazione in quasi tutti i paesi oltre a altri sistemi di pagamento come Google Pay creano un collegamento per poter pagare con i fondi trovati nei conti Paypal, che a loro volta, se non contati, preleva i fondi dalle carte di debito o di credito collegate.
Questo può creare confusione quando puoi semplicemente pagare con le tue carte e basta, ma molte persone preferiscono effettuare pagamenti in questo modo per evitare che la loro plastica venga clonata o semplicemente perché ciò che vogliono pagare ha quella facilità (di solito online) .
Ma sembra che questo abbia generato un problema molto più grande così tanti persone hanno iniziato a segnalare di aver scoperto pagamenti non autorizzati con il tuo account PayPal su varie piattaforme, come i forum PayPal o Twitter, di cui tutti I rapporti hanno in comune che tutti hanno utilizzato l'integrazione di Google Pay con PayPal.
Da questo venerdì 21 febbraio, le transazioni che a volte superano i mille euro compaiono nella tua cronologia PayPal, come se provenissero dal tuo account Google Pay.
Una delle vittime su Twitter ha detto di aver notato un acquisto insolito di tre paia di AirPods, per l'equivalente di $ 500. Pertanto, è impossibile annullare l'acquisto. I danni stimati sono attualmente nelle decine di migliaia di euro, secondo rapporti pubblici.
Secondo Markus Fenske, un ricercatore di cybersecurity con l'alias "iblue" su Twitter, Gli hacker hanno sfruttato una falla nell'integrazione di Google Pay con PayPal. Su Twitter l'esperto sostiene di aver avvertito l'azienda dell'esistenza di una violazione nel febbraio 2019, ma il gruppo non ne ha fatto una priorità.
Quando un account PayPal è collegato a un account Google Pay, PayPal crea una carta di credito virtuale, con il numero della tua carta, la data di scadenza e il CVV, dice Fenske.
«PayPal consente pagamenti contactless tramite Google Pay. Se lo configuri, puoi leggere i dettagli della carta di una carta di credito virtuale dal cellulare. L'autenticazione non è richiesta ", si rammarica Markus Fenske.
In queste condizioni gli hacker possono raccogliere dati da carte virtuali. Grazie a questi dati, un hacker non ha difficoltà a fare acquisti nel negozio sul proprio account.
I destinatari delle transazioni sono spesso negozi Target, referenziato nelle dichiarazioni nella forma "Target T-". Una ricerca su Google identifica abbastanza rapidamente la posizione di questi diversi negozi.
L'investigatore ha detto che ci potrebbero essere tre modi in cui un aggressore potrebbe ottenere i dettagli di una carta virtuale.
Innanzitutto, leggendo i dettagli della carta sul telefono o sullo schermo di un utente. In secondo luogo, da malware che infetta il dispositivo di un utente. Infine indovinarlo.
"Potrebbe essere possibile che l'attaccante abbia semplicemente forzato il numero della carta e la data di scadenza, che è nell'intervallo di circa un anno", ha detto Fenske. 'Questo lo rende uno spazio di ricerca piuttosto piccolo. E per chiarire che "Il CVC non ha importanza", spiegando che "Tutto è accettato".
Anche prima che la vulnerabilità venisse sfruttata, gli hacker hanno pubblicato un articolo sui reclami sulla gestione delle falle di sicurezza trovate da PayPal. LLa critica è che PayPal offre un programma di premi errore tramite HackerOne, ma questa è una facciata pura.
Gli autori dell'articolo hanno affermato di aver segnalato diverse vulnerabilità, ma le risposte di PayPal sono state tutt'altro che utili. Ad esempio, una delle lacune citate consente di bypassare la 2FA, un'altra consente di registrare un nuovo telefono senza PIN.
Fenske lo crede gli harak hanno trovato un modo per scoprire i dettagli di queste "carte virtuali" e stanno usando i dettagli della carta per transazioni non autorizzate nei negozi americani e tedeschi (la maggior parte delle vittime si trova in Germania).
Grazie per le informazioni!
Mi piacciono questi tipi di articoli, informativi, sulla sicurezza.