PayPal-Missbrauch noch immer möglich:
Google Pay besser trennen

Die Lage um die ungerechtfertigten Abbuchungen von PayPal-Konten über den Google Pay-Dienst klärt sich wohl langsam auf. Verantwortlich dafür soll ein nicht gerade sicheres Verfahren sein, mit dem PayPal die Verbindung zu Googles Bezahldienst ermöglicht. Dafür werden virtuelle Mastercard-Kreditkarten generiert, mit denen die Transaktionen dann abgewickelt werden. Das berichten die Kollegen von Heise unter Berufung auf den Sicher­heits­forscher Markus Fenske. Dieser hatte das zugrundeliegende Problem schon im Februar des letzten Jahres an PayPal gemeldet, doch auch die jüngsten Vorfälle haben zu keiner erkenn­baren Verbesserung der Lage geführt.

Das Problem liegt wohl darin, dass die generierten Kreditkartendaten mit einer recht geringen Varianz ausgestattet sind und einige Merkmale beim Auslösen von Transaktionen auch gar nicht überprüft werden. Ablaufdaten, Namen des Inhabers und Sicherheitscode spielen bei Abbuchungen also keine Rolle, sondern nur die Kartennummer selbst. Und auch diese ist recht unkomplex, so dass laut dem Sicherheitsforscher pro hundert Versuchen ein als gültig anerkannter Datensatz entsteht.

Verbindungen besser kappen

Mit der Veröffentlichung des Verfahrens, mit dem sich die Daten generieren lassen, soll nun mehr Druck auf PayPal aufgebaut werden. Am Sitz der europäischen Niederlassung in Luxem­burg wurden auch die Behörden in­for­miert. Denn aktuell findet ein Missbrauch der Sicher­heits­lücke statt - was zumindest un­an­ge­nehme Zeiten für die Nutzer mit sich bringt, bis der Bezahldienst die möglichen Verluste erstattet.

Wer derzeit Google Pay in Verbindung mit PayPal nutzt, sollte vorübergehend besser auf diesen Weg verzichten. Auf dem PayPal-Portal können die Berechtigungen zur Abbuchung durch Google erst einmal zurückgezogen werden. Auch ein Anruf beim Support hilft weiter. Teilweise hat Google auch schon reagiert und Verbindungen gekappt - das ist allerdings nicht bei allen Accounts der Fall.

Siehe auch: Hohe unautorisierte Paypal-Zahlungen: Nutzer klagen über 'Target'