黑客在PayPal的Google Pay集成中发现了一个漏洞，现在正使用它来在线购买产品并向PayPal帐户收取未经授权的费用。
自上周五以来，用户报告称在其PayPal历史中突然出现了源自其Google Pay帐户的神秘交易。
问题已经报道了多种平台，如PayPal的论坛，reddit的微博，和谷歌支付的俄罗斯和德国的支持论坛。
受害者报告说，黑客正在滥用其Google Pay帐户，以使用链接的PayPal帐户购买产品。根据屏幕截图和各种证词，大多数非法交易发生在美国购物商店，尤其是在Target商店。
大多数受害者似乎是德国使用者。
根据公开报告，估计损失在数万欧元左右。有些交易金额超过1,000欧元。
黑客正在利用哪些错误尚不清楚。贝宝告诉Febhost，他们正在调查此问题。在这篇文章发表之前，谷歌发言人没有返回置评请求。
一位德国安全研究员有一个理论
今天，在Twitter上，一位名叫Markus Fenske的德国安全研究员声称，周末报告的非法交易似乎与他和安全研究员安德里亚斯·梅耶（Andreas Mayer）于2019年2月向PayPal报告的错误相似，但PayPal没有优先考虑修理。
Fenske告诉Febhost，该问题源于以下事实：将PayPal帐户链接到Google Pay帐户时，PayPal会创建一个虚拟卡，其中包含其自己的卡号，有效期和CVC。
当Google Pay用户选择使用其PayPal帐户中的资金进行非接触式付款时，交易将通过该虚拟卡进行收费。
Fenske 今天在接受采访时告诉Febhost： “如果仅将虚拟卡锁定到POS交易，就不会有问题，但是PayPal允许将该虚拟卡用于在线交易。”
Fenske现在认为，黑客找到了一种发现这些虚拟卡详细信息的方法，并将其详细信息用于未经授权的在线交易。
研究人员说，攻击者可以通过三种方式获取虚拟卡的详细信息。首先，通过从用户的手机/屏幕读取卡的详细信息。其次，通过编程方式，使用感染用户设备的恶意软件。第三，通过猜测。
Fenske说：“攻击者有可能只是强行使用卡号和有效期，这大约需要一年左右的时间。” “这使得搜索空间很小。”
他补充说：“ CVC无关紧要。” “任何人都被接受。”
贝宝正在调查中
但是，Fenske是第一个告诉Febhost的人，他和Mayer只是在猜测攻击的真正原因-即使这些细节与他们去年报告的错误相符。
另一方面，几小时前Febhost到达后，贝宝（PayPal）的安全团队便开始对未经授权的交易进行调查。
PayPal工作人员正在研究不同的问题-包括Fenske今天描述的攻击情形以及他的2019年2月错误报告。
PayPal发言人告诉Febhost：“客户帐户的安全是公司的重中之重。” “我们正在审查和评估此信息，并将采取任何必要的行动来进一步保护我们的客户。”
上一条： F5为NGINX平台带来WAF应用保护
