Paypal is een populair online betalingssysteem en met grote acceptatie in bijna alle landen naast andere betalingssystemen zoals Google Pay maken een link om te betalen met het geld dat op de Paypal-accounts staat, die op zijn beurt, als het niet wordt meegeteld, het geld van de gekoppelde debet- of creditcards haalt.
Dit kan enigszins verwarrend zijn als u gewoon met uw kaarten kunt betalen en dat is het, maar veel mensen geven er de voorkeur aan om op deze manier te betalen om te voorkomen dat hun plastic wordt gekloond of gewoon omdat wat ze willen betalen dat gemak heeft (meestal online ).
Maar het lijkt erop dat dit een veel groter probleem heeft veroorzaakt zo veel mensen zijn begonnen te melden dat ze ongeautoriseerde betalingen hebben ontdekt met uw PayPal-rekening op verschillende platforms, zoals PayPal-forums of Twitter, allemaal De rapporten hebben gemeen dat ze allemaal de Google Pay-integratie met PayPal hebben gebruikt.
Sinds deze vrijdag 21 februari verschijnen transacties die soms meer dan duizend euro overschrijden in uw PayPal-geschiedenis, alsof ze van uw Google Pay-account kwamen.
Een van de slachtoffers op Twitter zei dat ze een ongebruikelijke aankoop had opgemerkt van drie paar AirPods, voor het equivalent van $ 500. Daarom is het onmogelijk om de aankoop te annuleren. De geschatte schade is momenteel in de tienduizenden euro's, volgens openbare rapporten.
Volgens Markus Fenske, een cybersecurity-onderzoeker met de alias "iblue" op Twitter, De hackers maakten gebruik van een fout in de Google Pay-integratie met PayPal. Op Twitter beweert de expert het bedrijf in februari 2019 te hebben gewaarschuwd voor het bestaan van een inbreuk, maar de groep heeft er geen prioriteit van gemaakt.
Wanneer een PayPal-account is gekoppeld aan een Google Pay-account, PayPal maakt een virtuele creditcard aan, met je eigen kaartnummer, vervaldatum en CVV, zegt Fenske.
«PayPal staat contactloze betalingen toe via Google Pay. Als u het configureert, kunt u de kaartgegevens van een virtuele creditcard van de gsm aflezen. Authenticatie is niet vereist ”, betreurt Markus Fenske.
In deze omstandigheden hackers kunnen gegevens van virtuele kaarten verzamelen. Dankzij deze gegevens heeft een hacker geen moeite om op zijn account aankopen te doen in de winkel.
De ontvangers van transacties zijn vaak Target-winkels, waarnaar wordt verwezen in verklaringen in het formulier "Target T-". Een Google-zoekopdracht identificeert de locatie van deze verschillende winkels vrij snel.
De onderzoeker zei dat er drie manieren kunnen zijn waarop een aanvaller de details kan achterhalen van een virtuele kaart.
Ten eerste door de kaartgegevens op de telefoon of het scherm van een gebruiker te lezen. Ten tweede door malware die het apparaat van een gebruiker infecteert. Eindelijk raden.
"Het is mogelijk dat de aanvaller simpelweg het kaartnummer en de vervaldatum heeft geforceerd, die in de orde van grootte van ongeveer een jaar ligt", zei Fenske. 'Het is dus een vrij kleine onderzoeksruimte. En om te verduidelijken dat "de CVC er niet toe doet", door uit te leggen dat "alles wordt geaccepteerd".
Zelfs voordat de kwetsbaarheid werd misbruikt, hackers maakten een artikel over de klachten over het omgaan met beveiligingslekken die door PayPal zijn gevonden. L.De kritiek is dat PayPal een beloningsprogramma aanbiedt fout via HackerOne, maar dit is een pure façade.
De auteurs van het artikel zeiden dat ze verschillende kwetsbaarheden rapporteerden, maar de reacties van PayPal waren allesbehalve nuttig. Een van de genoemde hiaten stelt u bijvoorbeeld in staat om 2FA te omzeilen, een andere stelt u in staat een nieuwe telefoon te registreren zonder pincode.
Fenske gelooft dat de Hagaks hebben een manier gevonden om de details van deze "virtuele kaarten" te ontdekken en ze gebruiken de kaartgegevens voor ongeautoriseerde transacties in Amerikaanse en Duitse winkels (de meeste slachtoffers bevinden zich in Duitsland).
Bedankt voor de info!
Ik hou van dit soort artikelen, informatief, over beveiliging.