Existe un error en la integración de Google Pay de PayPal, un agujero de seguridad, y se está usando para comprar productos en línea e incurrir en cargos no autorizados en las cuentas de PayPal.
Varios usuarios llevan denunciándolo desde el viernes pasado, relatando transacciones misteriosas en su historial de PayPal como originadas en su cuenta de Google Pay.
Comentan en ZDnet las fuentes de las denuncias: foros de PayPal, Reddit, Twitter, soporte ruso y alemán de Google Pay… por lo visto los hackers están abusando de sus cuentas de Google Pay para comprar productos utilizando cuentas vinculadas de PayPal. Según capturas de pantalla y varios testimonios, la mayoría de las transacciones ilegales se llevan a cabo en tiendas de compras de EE. UU., Y especialmente en tiendas Target.
Con un número de víctimas muy alto en Alemania, y decenas de miles de euros perdidos (algunas transacciones superan los 1.000 €), aún no se conoce la solución, pero PayPal le dijo a ZDNet que están investigando el problema (Google aún no se ha pronunciado).
Información actualizada en función de los nuevos datos ofrecidos por Paypal (ver texto abajo).
El investigador de seguridad alemán Markus Fenske afirmó que las transacciones ilegales que se informaron durante el fin de semana parecen ser similares a un error que él y su investigador de seguridad Andreas Mayer informaron a PayPal en febrero de 2019, pero que PayPal no priorizó arreglar.
https://twitter.com/iblueconnection/status/1231962980964847618
Fenske le dijo a ZDNet que el problema se debe al hecho de que cuando se vincula una cuenta de PayPal a una cuenta de Google Pay, PayPal crea una tarjeta virtual, con su propio número de tarjeta, fecha de vencimiento y CVC. Cuando un usuario de Google Pay elige realizar un pago sin contacto con fondos de su cuenta de PayPal, la transacción se carga a través de esta tarjeta virtual. Si la tarjeta virtual estuviera bloqueada solo para transacciones POS, no habría problema, pero PayPal permite que esta tarjeta virtual se use para transacciones en línea.
Fenske ahora cree que los piratas informáticos encontraron una manera de descubrir los detalles de estas tarjetas virtuales y están utilizando sus datos para transacciones no autorizadas en línea.
Seguramente obtendremos algún comunicado de Paypal durante las próximas horas. Actualizaremos esta información en cuanto la recibamos.
Actualización
Paypal ha contactado con nosotros dando más detalles sobre el asunto:
En PayPal nunca perdemos de vista el hecho que la gente confía en nosotros para cuidar su dinero. La seguridad de las cuentas de nuestros clientes es una prioridad para la compañía y por ello utilizamos herramientas avanzadas de gestión de riesgos y fraude para mantener a nuestros clientes, y sus pagos, seguros. Rápidamente abordamos y solucionamos el problema, que afectó a un número muy pequeño de clientes de PayPal que usaban Google Pay en Alemania. En ningún momento se vio comprometida ninguna información personal y financiera y tampoco se accedió a ninguna cuenta de PayPal por parte de terceros. Dicho esto, siguiendo nuestra política habitual, te comunicamos también que PayPal reembolsará cualquier transacción no autorizada a los clientes afectados.