Guaio PayPal: gli altri comprano, tu paghi

Brutto guaio per PayPal. A partire da venerdì un numero non ancora precisato di utenti ha visto addebitate sul proprio conto spese per acquisti mai eseguiti, effettuati sia nei negozi fisici sia sugli store online. Sembra essere tutta colpa dell’integrazione fra la piattaforma e il sistema Google Pay dedicato ai pagamenti.

PayPal: spese non autorizzate per gli utenti tedeschi

A riportarlo la redazione del sito ZDNet con la società che ha confermato il problema sottolineando di essere già intervenuta per risolverlo. Da capire ora con quali modalità e quali tempistiche le vittime potranno ricevere il rimborso dei fondi. Il report parla di un’azione che ha colpito in particolare la Germania e di transazioni che in alcuni casi superano i 1.000 euro. Queste le parole attribuite a un portavoce dell’azienda.

La sicurezza degli account degli utenti è una massima priorità per noi. Stiamo analizzando e valutando questa informazione, attueremo ogni misura appropriata che si renderà necessaria per proteggere al meglio i nostri clienti.

https://twitter.com/ChrisPerezOne/status/1232072180730560512

Nessun dettaglio ufficiale in merito a quanto accaduto. L’ipotesi più accreditata è che i malintenzionati abbiano sfruttato un bug già segnalato nel febbraio 2019 a PayPal dal ricercatore tedesco Markus Fenske (ma non preso in considerazione con priorità) e legato alla creazione automatica di una carta virtuale con tanto di numero, data di scadenza e CVC nel momento in cui l’utente associa il proprio conto a quello di Google Pay per le transazioni contactless.

https://twitter.com/iblueconnection/status/1231962980964847618

Qualcuno pare aver trovato il modo di entrare in possesso dei dati, presumibilmente attraverso due metodi: leggendoli direttamente sullo schermo del telefono della vittima oppure compromettendo il suo dispositivo con un malware e intercettando poi le informazioni. Il problema non si manifesta per coloro che hanno impostato l’integrazione tra PayPal e Google Pay limitandone l’azione ai pagamenti via POS, mentre consentendo l’utilizzo della carta per gli acquisti online permette a chiunque in possesso dei dati di comprare e addebitare la spesa sul conto altrui. A quanto pare, non viene eseguito nemmeno un controllo sul codice CVC digitato poiché qualsiasi combinazione di tre cifre è accettata.