Categories: Sicherheit

Paypal-Konten werden für betrügerische Zahlungen missbraucht

Hacker haben einen Fehler in der Google-Pay-Integration von Paypal gefunden und nutzen diese für betrügerische Zahlungen von Paypal-Kunden aus. Seit letzten Freitag berichten Nutzer über mysteriöse Transaktionen in ihrem Paypal-Konto, die auf Google Pay zurückzuführen sind.

Über Probleme wurde auf zahlreichen Plattformen berichtet, wie in den Foren von Paypal [1, 2, 3, 4, 5, 6, 7], Reddit [1, 2], Twitter, [1, 2], und Google Pay [1, 2, 3, 4, 5, 6, 7, 8, 9, 10].

Die Opfer berichten, dass Hacker ihre Google-Pay-Konten missbrauchen, um Produkte über verknüpfte Paypal-Konten zu kaufen. Laut Screenshots und verschiedenen Zeugenaussagen finden die meisten illegalen Transaktionen in US-Shopping-Geschäften statt, insbesondere in Target-Shops. Die meisten der Opfer scheinen deutsche Nutzer zu sein. Der geschätzte Schaden liegt nach öffentlichen Berichten im Bereich von Zehntausenden von Euro. Einige Transaktionen gehen über 1.000 Euro. Welchen Bug die Hacker ausnutzen, ist noch nicht klar. Paypal teilte gegenüber ZDNet mit, dass sie das Problem untersuchen.

Ein deutscher Sicherheitsforscher hat eine Theorie

Der deutscher Sicherheitsforscher Markus Fenske vermutet, dass die illegalen Transaktionen möglicherweise auf einen Fehler zurückzuführen sind, den er zusammen mit einem Kollegen im Februar 2019 an Paypal gemeldet hat, dessen Behebung Paypal aber nicht priorisiert habe.

Demnach ist das Problem darauf zurückzuführen, dass Paypal bei der Verknüpfung eines Paypal-Kontos mit einem Google-Pay-Konto eine virtuelle Karte mit eigener Kartennummer, Ablaufdatum und CVC erstellt. Wenn sich ein Google-Pay-Nutzer für eine kontaktlose Zahlung über sein verknüpftes Paypal-Konto entscheidet, wird die Transaktion über diese virtuelle Karte belastet. „Wenn die virtuelle Karte nur für POS-Transaktionen erlaubt wäre, gäbe es kein Problem, aber Paypal erlaubt die Verwendung dieser virtuellen Karte auch für Online-Transaktionen“, sagte Fenske. Laut Fenske könnten Hacker einen Weg gefunden haben, um die Details dieser virtuellen Karten auszuspionieren und ihre Daten für nicht autorisierte Online-Transaktionen zu verwenden.

HIGHLIGHT

Safer Internet Day: Identität und Privatsphäre schützen

Im Rahmen des Safer Internet Day erläutert ZDNet sechs Maßnahmen, wie man die Sicherheit im Internet erhöhen und den Schutz der Privatsphäre verbessern kann.

Der Forscher sagte, es könne drei Wege geben, auf denen ein Angreifer an die Daten einer virtuellen Karte gelangen könne. Erstens, indem er die Kartendetails vom Telefon eines Benutzers liest. Zweitens, programmgesteuert, durch die Verwendung von Malware, die das Gerät eines Benutzers infiziert hat. Drittens, indem er sie errät. „Es ist möglich, dass Angreifer über Brute-Force-Attacken an die Kartennummer und das Gültigkeitsdatum, das nur etwa ein Jahr beträgt, gelangen“, so Fenske. „Der CVC spielt keine Rolle“, fügte er hinzu. „Jeder wird akzeptiert.“

Auf die Verknüpfung eines Paypal-Kontos mit Google Pay sollte man angesichts der Betrugsfälle vorerst verzichten (Screenshot: ZDNet.de).

Paypal untersucht

Das Sicherheitsteam von Paypal untersucht inwzischen die nicht autorisierten Transaktionen. Es befasst sich mit verschiedenen Problemen – einschließlich des von Fenske beschriebenen Angriffsszenarios und seines Fehlerberichts vom Februar 2019. „Die Sicherheit von Kundenkonten hat für das Unternehmen höchste Priorität“, sagte ein Paypal-Sprecher gegenüber ZDNet. „Wir prüfen und bewerten diese Informationen und werden alle geeigneten Maßnahmen ergreifen, die wir zum weiteren Schutz unserer Kunden für notwendig erachten.“

Paypal erstattet Geld zurück

Laut Anwenderberichten erstattet Paypal die fehlerhaften Buchungen. Betroffene sollten sich sofort mit Paypal in Verbindung setzen.

WEBINAR

Webinar-Aufzeichnung: Zugangsdaten unter Kontrolle behalten

Sicherheit beginnt bei Identitäten, hört aber nicht dort auf. Wie Identity Management, Active Directory und Privileged Access Management (PAM) zusammenpassen, erfahren Sie in diesem Webinar.

Kai Schmerer @KaiSchmerer

Kai ist seit 2000 Mitglied der ZDNet-Redaktion, wo er zunächst den Bereich TechExpert leitete und 2005 zum Stellvertretenden Chefredakteur befördert wurde. Als Chefredakteur von ZDNet.de ist er seit 2008 tätig.

Recent Posts

Nolte Küchen setzt auf Cloud-basierte Lösung für Geschäftsautomatisierung von IBM

In einem gemeinsamen Projekt von IBM und X-INTEGRATE optimiert der Küchenhersteler Bestellablauf und Kundenservice mit Public Cloud und On-Premise-Lösungen von…

17 Stunden ago

Microsoft verschiebt Windows-10-X-Geräte angeblich auf 2021

Die Änderung gilt für das Surface Neo und wohl auch für Geräte anderer Hersteller. Das Android-Gerät Surface Duo soll es…

21 Stunden ago

Bericht: Google macht mit Android 11 nahtlose OS-Updates verpflichtend

Darauf weist eine Änderung der Vendor Test Suite hin. Sie schreibt offenbar die benötigte A/B Partition ab API-Level 30 vor.…

23 Stunden ago

Microsoft erweitertet Exchange Online um DANE- und DNSSEC-Support

Beide Protokolle sollen den E-Mail-Verkehr sicherer machen. Sie verhindern unter anderem ein Downgrade auf unverschlüsselte SMTP-Verbindungen. Microsoft führt DANE und…

1 Tag ago

Kursverfall: Investor verklagt Zoom wegen Sicherheitsmängeln

Das Start-up soll die Wahrheit über die Sicherheit seiner Plattform verschleiert haben. In den vergangenen Wochen fällt der Kurs der…

1 Tag ago

Chrome 81 unterstützt Web NFC Standard

Der Browser liest und schreibt NFC-Tags. Chrome 81 blockiert zudem das Laden unverschlüsselter Inhalte bei bestehender HTTPS-Verbindung. Außerdem verlängert auch…

2 Tagen ago