PayPal漏洞导致欺诈性交易？

近期，有黑客正在使用一种未知的方法对链接到Google Pay的PayPal账户进行欺诈收费。这些欺诈交易都是通过美国的Target商店或星巴克（Starbucks）进行的，尽管帐户持有人几乎都在德国。

从2月22日开始，许多德国人开始报告[1,2,3,4,5,6]他们链接到Google Pay的PayPal账户存在未知交易，金额从1.73欧元到1800多欧元不等。

众多报告者称，他们的账户首先发生了一笔金额在0.01欧元至4欧元之间的小型交易，很可能是最初的攻击测试。不久之后他们就发现账户出现多起美国Target百货公司的交易记录，其中大多数都发生在纽约和北卡罗来纳州。

和欺诈相关的Target商店名单如下：

当用户第一次上报这个问题时，发现PayPal很难立刻给他们退款。

而如今，一个德国的Google Pay/Paypal/Target Hack 2020 victimsFacebook群组里的成员表示，Paypal已经开始退还这些欺诈金钱。

一名用户在Facebook上发帖称：“我和其他某些人已经收到了来自PayPal的电子邮件，称付款将被退到相关银行账户。”

另一位用户被PayPal告知，他们正在调查此事，并将向所有受影响的用户退款。

如果你也受到这次欺诈攻击的影响，应该立即联系PayPal，对交易提出质疑。

Paypal的漏洞？

在德国媒体开始报道这些欺诈性交易后，一位名为“iblue”的安全研究员在推特上表示，这可能与他们一年前向PayPal报告的一个漏洞有关。

据iblue称，正常情况下，你可以将PayPal账户与Google Pay链接起来，通过虚拟信用卡进行非接触式支付。而iblue报告的漏洞可让目标附近的攻击者读取虚拟信用卡信息，并对关联的PayPal账户扣款。

问题：PayPal允许通过谷歌支付进行非接触式支付。在设置好的情况下，你可以从移动设备上读取虚拟信用卡的详细信息（如果没有身份验证）。


基本上，如果你的手机有虚拟信用卡，任何靠近你的人都可以从你的PayPal账户中扣款。而且在有效性和数量上都不受限制。

目前尚不清楚这是否就是当前欺诈交易所涉及的漏洞，但如果是，为什么德国的虚拟卡会受到来自美国的攻击？

BleepingComputer已经就这个问题给谷歌和PayPal都发了邮件，但是目前还没有得到回复。

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://www.bleepingcomputer.com/news/security/paypal-users-hit-with-fraudulent-target-charges-via-google-pay/