Artikel-Update: Markus Fenske, CEO beim Sicherheitsunternehmen exablue, dessen freier Mitarbeiter Andreas Mayer die Lücke vor einem Jahr entdeckt hatte, beschreibt den so genannten Angriffsvektor auf Twitter wie folgt: Um NFC-Zahlungen zu ermöglichen, generiert die PayPal-App eine virtuelle Kreditkarte. Anders als bei anderen Anbietern kann über diese Karte aber nicht nur eine Zahlung im Einzelhandel autorisiert werden, sondern auch eine Zahlung im Online-Handel. Und in diesem Fall verlangt PayPal lediglich nach Angabe der Kartennummer sowie des Ablaufdatums.
Diese Informationen ließen über ein NFC-Lesegerät aus einem Smartphone auslesen und dann verwenden. Allerdings geht Fenske nicht davon aus, dass das der Fall gewesen ist. Vielmehr geht er davon aus, dass Angreifer die Daten der von PayPal ausgestellten virutellen Kreditkarten per Brute Force „erraten“ haben. Das sei weniger aufwendig als auf den ersten Blick gedacht, denn die ersten sieben Stellen der Nummer seien zumindest bei den überprüften deutschen Accounts immer gleich. Damit müsste nur noch eine siebenstellige folgende Zahlenkette durchprobiert werden, denn die letzte Zahl ist lediglich ein Produkt aus den 15 vorangegangenen. Das Ablaufdatum sei noch einfacher zu erraten, denn jede Karte ist ein Jahr gültig, mit einem Start im Oktober 2018 gibt es bisher also nur 17 Varianten.
Fenske bestätigt, dass PayPal im letzten Jahr 4.400 US-Dollar für die Meldung des Fehlers gezahlt, auf Nachfragen, ob er behoben sei, aber nicht mehr reagiert hätte. Und auch heute sei es den Sicherheitsforschern noch möglich gewesen, mit einer erratenen Kartennummer nebst passendem Ablaufdatum unter Angabe eines wahllosen Namens und CVC-Nummer eine Online-Zahlung zu autorisieren.
Mit diesen Informationen dürfte klar sein, dass in der Tat Kriminelle und kein Systemfehler hinter den Abbuchungen stecken. Potentiell betroffen ist jeder PayPal-Nutzer, der kontaktloses Zahlen eingerichtet hat.
Diese Informationen ließen über ein NFC-Lesegerät aus einem Smartphone auslesen und dann verwenden. Allerdings geht Fenske nicht davon aus, dass das der Fall gewesen ist. Vielmehr geht er davon aus, dass Angreifer die Daten der von PayPal ausgestellten virutellen Kreditkarten per Brute Force „erraten“ haben. Das sei weniger aufwendig als auf den ersten Blick gedacht, denn die ersten sieben Stellen der Nummer seien zumindest bei den überprüften deutschen Accounts immer gleich. Damit müsste nur noch eine siebenstellige folgende Zahlenkette durchprobiert werden, denn die letzte Zahl ist lediglich ein Produkt aus den 15 vorangegangenen. Das Ablaufdatum sei noch einfacher zu erraten, denn jede Karte ist ein Jahr gültig, mit einem Start im Oktober 2018 gibt es bisher also nur 17 Varianten.
Fenske bestätigt, dass PayPal im letzten Jahr 4.400 US-Dollar für die Meldung des Fehlers gezahlt, auf Nachfragen, ob er behoben sei, aber nicht mehr reagiert hätte. Und auch heute sei es den Sicherheitsforschern noch möglich gewesen, mit einer erratenen Kartennummer nebst passendem Ablaufdatum unter Angabe eines wahllosen Namens und CVC-Nummer eine Online-Zahlung zu autorisieren.
Mit diesen Informationen dürfte klar sein, dass in der Tat Kriminelle und kein Systemfehler hinter den Abbuchungen stecken. Potentiell betroffen ist jeder PayPal-Nutzer, der kontaktloses Zahlen eingerichtet hat.
