Google Pay: Schwachstelle behoben, Paypal-Probleme bleiben bestehen

Im Februar wurde eine schwere Sicherheitslücke in Zusammenhang mit Google Pay bekannt. Falls ein Paypal-Konto in der App hinterlegt wurde, konnten Betrüger unautorisierte Abbuchungen tätigen. Die Schwachstelle soll nun behoben worden sein. Die Probleme bleiben jedoch bestehen. Die ungewollten Paypal-Abbuchungen waren auf eine Sicherheitslücke bei den von Google Pay generierten Kreditkarten zurückzuführen. Um die Identität des Nutzers zu schützen und Zahlungen an gängigen Terminals zu ermöglichen, erstellt Google Pay bei jedem Einkauf eine virtuelle Mastercard. Die Kartennummer unterscheidet sich dabei nur kaum von anderen Kar­ten­num­mern. Da Merkmale wie das Ablaufdatum und der Sicherheitscode nicht immer über­prüft werden, konnten Betrüger viele Datensätze erraten und zu ihren Zwecken verwenden.

Nachdem die Betrugswelle zurückgegangen ist, soll Google die für das Problem verantwortliche Schwachstelle nun heimlich behoben haben. Wie Heise berichtet, wurde der Fix wohl in­ner­halb der letzten vier Wochen implementiert. Die Sicherheitsforscher, die die Lücke damals entdeckt hatten, konnten das Betrugsszenario nicht mehr reproduzieren.

Weitere Sicherheitslücken möglich

Damit sind die Probleme allerdings noch nicht endgültig aus der Welt geschafft. Noch vor we­ni­gen Tagen soll es unautorisierte Ab­bu­chun­gen (via Caschys Blog) gegeben haben. Es ist denkbar, dass hierbei ein weiterer Aspekt eine Rolle gespielt hat. Auffällig ist, dass die Zahlungen an ein russisches Netzwerk gingen und die wahrscheinlich nicht existierende Mail "noreply+support@google.com" verwendet wurde.

Bis die Probleme eindeutig geklärt sind und sich Google offiziell dazu geäußert hat, sollte das Paypal-Konto von Google Pay getrennt bleiben. Es ist später nicht möglich, eine ausgeführte Transaktion zu stornieren. Um eine Zahlung mit Google Pay rückgängig zu machen, muss der Nutzer sich zunächst an den Support von Paypal und eventuell auch an Google Pay wenden.

Siehe auch: PayPal-Missbrauch noch immer möglich: Google Pay besser trennen