黑客在 PayPal 的 Google Pay 集成中发现漏洞 进行未经授权的付款
据外媒ZDNet报道，近日黑客在PayPal的Google Pay集成中发现了一个漏洞，现在正使用它通过PayPal帐户进行未经授权的交易。自上周五以来，用户报告称在其PayPal历史中突然出现了源自其Google Pay帐户的神秘交易。
受害者报告说，黑客滥用Google Pay帐户来使用链接的PayPal帐户购买产品。根据截图和各种证词，大多数非法交易发生在美国商店，尤其是在纽约各地的Target商店。而大多数受害者似乎是德国使用者。
根据公开报告，估计此次损失在数万欧元左右，一些未经授权的交易远超过1000欧元。黑客正在利用哪些漏洞尚不清楚。PayPal告诉ZDNet，他们正在调查此问题。在这篇文章发表之前，谷歌发言人没有返回置评请求。
德国安全研究员Markus Fenske周一在Twitter上表示，周末报告的非法交易似乎与他和安全研究员Andreas Mayer在2019年2月向PayPal报告的漏洞相似，但PayPal没有优先考虑修复。
Fenske告诉ZDNet，他发现的漏洞源于以下事实：当用户将PayPal帐户链接到Google Pay帐户时，PayPal会创建一个虚拟卡，其中包含其自己的卡号，有效期和CVC。当Google Pay用户选择使用其PayPal帐户中的资金进行非接触式付款时，交易将通过该虚拟卡进行收费。
Fenske 在接受采访时说道：“如果仅将虚拟卡锁定到POS交易，就不会有问题，但是PayPal允许将该虚拟卡用于在线交易。”Fenske现在认为，黑客找到了一种 *** 来发现这些“虚拟卡”的详细信息，并且正在使用卡的详细信息在美国商店进行未经授权的交易。
研究人员表示，攻击者可以通过三种方式获取虚拟卡的详细信息。首先，通过从用户的手机/屏幕读取卡的详细信息。其次，通过编程方式，使用感染用户设备的恶意软件。第三，通过猜测。Fenske说道：“攻击者可能只是强行将卡号和有效期强行加起来，而有效期大约在一年左右。这使得搜索空间很小。”他补充说：“ CVC无关紧要。任何人都被接受。”
PayPal工作人员正在研究不同的问题-包括Fenske最新描述的攻击情形以及他的2019年2月漏洞报告。
PayPal发言人告诉ZDNet：“客户帐户的安全是公司的重中之重。我们正在审查和评估此信息，并将采取任何必要的行动来进一步保护我们的客户。”
(稿源：cnBeta，封面源自 *** 。）
“黑客在 PayPal 的 Google Pay 集成中发现漏洞 进行未经授权的付款” 的相关文章
黑客称入侵了微软：拿到 Bing 和 Cortana 项目源代码
近日，据Reddit上的帖子和Cyber Kendra上的一份报告显示，LAPSUS$ (Lapsus) 组织入侵了微软的DevOps帐户，该组织此前入侵了NVIDIA和三星。 下面的截图由Lapsus发布，但很快被删除，由Cyber Kendra保存了下来。该组织声称可以访问微软的一些DevOps...
CISA 与 FBI 在 Viasat 网络攻击后发出警告 美国卫星通讯亦面临安全威胁
因担心俄乌冲突引发的近期针对欧洲卫星网络发起的攻击可能很快蔓延到美国本土，政府机构已经向卫星通信网络运营商发出了“潜在威胁”预警。在美国网络安全与基础设施安全局（CISA）和联邦调查局（FBI）本周联合发布的一份公告中，其敦促卫星通讯（SATCOM）网络提供商和基础设施组织加强安全防御。若被入侵，或...
ESET：黑客借中东新闻网站对目标访客发起攻击
经历了持续一年多的追踪，网络安全研究人员终于摸清了“中东之眼”新闻网站入侵事件的来龙去脉。由 ESET 周二发布的报告可知，一群黑客入侵了总部位于伦敦的这家热门新闻网站。这家网站着眼于中东地区的新闻报道，而攻击者的最终目标却是网站访客。 伊朗驻阿布扎比大使馆网站的脚本注入 据悉，这轮黑客活动一直从...
一项研究显示各家汽车制造商收集了海量个人信息
大多数人都知道，现代电子设备，如智能手机、平板电脑和计算机，存储了我们个人和私人生活的一系列信息，我们不希望陌生人得到这些信息。然而，许多人没有考虑到他们的车辆信息娱乐系统和其他系统内到底储存了多少个人信息。 现在一份报告研究了全球15大汽车制造商，并调查了它们之间的数据共享政策。该研究对每个品牌2...
超过千万安卓用户成为付费短信诈骗应用的目标
一场在全球范围性欺诈行为被发现，它利用151个恶意Android应用程序，下载量达1050万次，在未经用户同意和知情的情况下将用户拉入付费订阅服务。 名为“Ultimams”的付费短信诈骗活动据信于2021年5月开始，涉及的应用程序涵盖范围广泛，包括输入法、二维码扫描仪、视频和照片编辑器、垃圾邮件拦...
因未能披露挖矿对业务的影响，英伟达被罚 550 万美元
美国证券交易委员会 (SEC) 5月6日发布声明，称对芯片制造商英伟达的指控，双方已达成一致，英伟达承认未能充分披露挖矿对其游戏业务的影响，同意支付550万美元的罚款。 此前，SEC认为，从 2017 年开始，已有越来越多的用户使用英伟达生产的游戏显卡（GPU） 来挖掘加密货币，但在2018财年的...
评论列表
发表评论
