Unauthorisierte Google Pay Zahlung an Target (Scam oder Fehler?)

[Turbo]

Hallo Leute,

Heute Nacht wurde auf meinem Google Pay um ca. 2:20 Uhr über 900 Euro an Target T-1401 gesendet. Das ist wohl ein größeres Problem bei dem virtuelle Kreditkarten in den USA für diese Zahlungen genutzt wurden. Für mich sieht das eher nach Betrug aus anstelle eines Systemfehlers. Es hat anscheinend auch keinen Login gegeben sonst hätte es ja eine Email gegeben.

Ich finde es eine Unverschämtheit, das anscheinend Fremde einfach so Kreditkarten in ein Google Pay Konto hinzufügen können ohne sich einzuloggen? Werde Google Pay mit Paypal nicht mehr nutzen.

Werde auch gleich um 9 Uhr den Support anrufen.

Ist hier noch jemand betroffen?
Mich interessiert die Art und Herkunft des Betrugs/Fehlers.

Quellen:
https://www.heise.de/amp/meldung/Pa...igten-Abbuchungen-via-Google-Pay-4667139.html

https://stadt-bremerhaven.de/google...editkarten-weisen-sicherheitsluecken-auf/amp/

Ist von euch jemand betroffen?

MfG
Turbo

 

[Pyrukar]

Tja, Schöne Neue Welt

Ich habe zwar einen Paypal Account ... aber im Einzelhandel gilt für mich EC oder Bargeld ... Mit dem Smartphone Bezahlen kommt für mich ehrlich gesagt nicht in Frage!

 

[Phear]

Diese Spekulation in dem Caschys Blog Artikel halte ich übrigens ebenfalls für ausgeschlossen. Manuelles Abgreifen von Daten in so einem großen Rahmen ist quasi unmöglich. Vor allem, weil ein Großteil kein dauerhaft aktives NFC haben wird.
Ich war gestern Abend zumindest nicht betroffen. Da hatte ich es kurz gecheckt. Hatte im Anschluss auch direkt die Karte aus Gpay geschmissen. Effektiv habe ich es seit August auch nicht mehr in Verwendung gehabt. Eventuell hängt es auch damit zusammen.
So lange nicht geklärt ist, was dort genau passiert ist und wie es dazu kam, werde ich das auch erstmal auf Eis legen.

@Jan Das wird hier bestimmt auch noch thematisiert?

 

[cyberpirate]

Moin,

zum Glück nicht. Habe das aber auch gleich getrennt.

MfG

 

[Andreas_]

Sicher, dass es an Google Pay liegt und nicht an Paypal wie auch im Heise-Artikel beschrieben?

 

[madmax2010]

Mach mal 2 Faktor Authentifizierung an

 

[Andreas_]

@madmax2010
Wird wohl nichts bringen. Aus dem verlinkten Heise-Artikel:

Einige Benutzer berichten, trotz aktivierter Zwei-Faktor-Authentifizierung von dem Problem betroffen zu sein.

 

[Phear]

@madmax2010
Irrelevant für das Thema, weil es trotz aktiver 2Faktor Authentifizierung bei den Leuten dazu kam.
@Andreas_
Es geht wohl um die Kombination.

 

[Turbo]

Mach mal 2 Faktor Authentifizierung an

Die ist seit 2012 bei mir aktiviert.

Es gab keine Abfrage, Verifizierungscode oder ähnliches. Es wurde direkt abgebucht. Das darf nicht passieren, da ist ja jeder 2FA Schutz sinnlos.

Erstmal gucken ob es an Paypal oder Google liegt..

 

[Cl4whammer!]

Hab ich im Paypal Forum gefunden: https://stadt-bremerhaven.de/google-pay-virtuelle-paypal-kreditkarten-weisen-sicherheitsluecken-auf/

 

[Schredderr]

Bin nicht betroffen, aber habe PayPal auch erstmal aus Google Pay rausgeworfen bis das geklärt ist.

 

[Phear]

@Cl4whammer!
Der Artikel ist oben bereits verlinkt?
Und wie gesagt, dass der Bug existiert ist schön und gut, aber die dort beschriebene Methodik ist extrem unwahrscheinlich. Das wird nicht die Ursache für diese Anzahl der Meldungen sein.

 

[Skandaloes]

Ebenfalls nicht betroffen aber vorerst PayPal aus G-Pay entfernt.
Allerdings bekam ich die Meldung in Google Pay, das ich Google Pay auch noch aus Paypal entfernen müssen, kann aber nicht finden wo. In den Berechtigungen ist GPay nicht aufgeführt, jemand ne Idee?

 

[skiefis]

Bin zum Glück auch nicht betroffen, aber vorsorglich hab ich auch erstmal die Verknüpfung aus GPay und PayPal getrennt, bis mal raus kommt was da falsch läuft.

Für die Bargeldfanatiker ist das natürlich wieder das gefundene Fressen, um das böse digitale bezahlen schlecht zu reden...
Die Funktion hab ich aber eigentlich immer gerne genutzt, vor allem im Sommer beim Sport. Einfach schnell was zum Trinken kaufen, und nicht immer den Geldbeutel, oder Münzen dabei haben müssen. Das Handy war eh immer dabei zum Musikhören.

 

[h00bi]

Ich finde es eine Unverschämtheit, das anscheinend Fremde einfach so Kreditkarten in ein Google Pay Konto hinzufügen können ohne sich einzuloggen? Werde Google Pay mit Paypal nicht mehr nutzen.

Ich glaube du hast das Problem nicht verstanden.
Es hat nichts damit zu tun dass jemand KK in ein fremdes Google Konto hinzufügt.
Er fügt DEINE virtuellen KK Informationen in sein eigenes Konto ein und bezahlt damit.

Das Problem ist, dass selbst 2020 KK Informationen weiterhin ohne CVC einfach akzeptiert werden.
Das bedeutet du kannst mit den Informationen auf der Vorderseite der KK bei manchen Seiten (z.B. Amazon, da ging das vor einer Weile noch, k.a. ob es heute noch geht), einfach online bezahlen.
Die CVC ist die "3-stellige PIN" die auf der Rückseite der Karte steht. Das ist quasi schon ultra low level Security und trotzdem gibt es noch Zahlungsprovider die so einen Quatsch akzeptieren.
Klar, bei einer virtuellen KK hast du keine "Rückseite" wo die CVC drauf gedruckt ist.

Das einzige was diesen Unsinn brauchbar macht ist die Tatsache dass unbefugte Zahlungen in solchen Fällen abgesichert sind.

 

[skiefis]

kann aber nicht finden wo

In der Paypal Android App geht's so:
Einstellungen rechts oben öffnen -> und dann auf Google Pay im Menü klicken. Da kannst du dann die Verbindung zwischen GPay und Paypal trennen.

 

[Skandaloes]

@the_haury Dank Dir, wenn dort "Einrichten" steht, werd ich es wohl doch irgendwie über die Paypal Seite entfernt haben.

 

[Turbo]

So hier das Feedback:

Der Paypal Support war sehr kompetent und hat die Zahlung direkt storniert. Das Thema ist bereits bekannt und die Ermittlungen laufen. Zum Ursprung konnte noch nichts gesagt werden. Vorsichtshalber habe ich die Verknüpfung von Google Pay und Paypal getrennt.

Wer das gleiche Problem hat bitte bei Paypal anrufen: 0800 7244 296

Ergänzung (25. Februar 2020)

Ich glaube du hast das Problem nicht verstanden.
Es hat nichts damit zu tun dass jemand KK in ein fremdes Google Konto hinzufügt.
Er fügt DEINE virtuellen KK Informationen in sein eigenes Konto ein und bezahlt damit.

Das Problem ist, dass selbst 2020 KK Informationen weiterhin ohne CVC einfach akzeptiert werden.
Das bedeutet du kannst mit den Informationen auf der Vorderseite der KK bei manchen Seiten (z.B. Amazon, da ging das vor einer Weile noch, k.a. ob es heute noch geht), einfach online bezahlen.
Die CVC ist die "3-stellige PIN" die auf der Rückseite der Karte steht. Das ist quasi schon ultra low level Security und trotzdem gibt es noch Zahlungsprovider die so einen Quatsch akzeptieren.
Klar, bei einer virtuellen KK hast du keine "Rückseite" wo die CVC drauf gedruckt ist.

Das einzige was diesen Unsinn brauchbar macht ist die Tatsache dass unbefugte Zahlungen in solchen Fällen abgesichert sind.

Hmm wenn ich das richtig verstehe ist es über die virtuelle Kreditkarte von Google Pay bezahlt worden? Dann dürfte man doch auch kein Bankkonto dort hinzufügen oder?

 

[Chriz]

Hmm wenn ich das richtig verstehe ist es über die virtuelle Kreditkarte von Google Pay bezahlt worden? Dann dürfte man doch auch kein Bankkonto dort hinzufügen oder?

Beim Giro wäre das techn. gesehen die Lastschrift. Da haftet der Verkäufer, nicht die Bank. Das ist ein anderes Risiko, weshalb Verkäufer Online meist keine Lastschrift anbietet und im Barverkauf entweder auf Pin oder Unterschrift bestehen.
Außerdem: Jeder Handwerker und jede Firma hat die IBAN auf dem Briefpapier, ist also nichts geheimes...

 

[Thor9]

Hi,

Wenn ich PP als Kreditkarte sehen, müsste ich die Karte sperren und eine Anzeige bei der Polizei machen.
Die Kosten sind ja normalerweise bei KK auch gedeckelt, solange ich nicht Fahrlässig war.

Was macht jetzt PP ? Ist es ein Fehler in Ihrem System, oder ein Fehler auf den Geräten vom Nutzer ?
Haftet der Nutzer für die Nutzung seines PP Kontos weil er Fahrlässig gehandelt hat?

PayPal - Leitfaden zum Thema Identitätsdiebstahl