绑Google Pay的Paypal账户遭盗刷，美、德及俄国用户遭殃

绑Google Pay的Paypal服务出现漏洞，导致美国、德国和俄罗斯多名用户上周遭到不明人士盗刷购物。

上周起多名Paypal用户透过Paypal社群、Reddit及推特反映，他们的Paypal账户遭到盗刷购物，金额从上百到上千欧元不等。这些用户以德国为最大宗，但也包含美国、俄罗斯用户，他们的共同点都是绑Google Pay服务。盗刷的“犯罪地点”皆位于美国，像是3C卖场Target及星巴克的线上或实体商店。

Paypal获通报后，已经退款给受影响的消费者。

骇客如何骇入Paypal账户不得而知，但代号iblue的德国安全研究人员怀疑，这和他与同事去年发现的Paypal漏洞有关。iBlue解释，用户把Paypal连结Google Pay时，Paypal以Paypal卡号、到期日和认证码（CVC）建立了虚拟卡片。而当Google Pay 用户刷卡以Paypal账户支付时，就是从该虚拟卡扣款。因此如果虚拟卡资讯被骇客取得，就能盗刷交易，而且输入任何CVC码都接受。

安全人员指出，取得虚拟卡资讯的方法有三，一是从手机屏幕上偷看到，二是以恶意程式窃取资讯，最后则是以暴力破解法，猜出Paypal卡号及有效日期。

这名安全人员说，去年他们就将漏洞通报给Paypal，而在180天的缄默期后，显然Paypal并未修补，于是他决定公布出来。

Paypal对BleepingComputer和ZDNet表示，他们正在调查这起盗刷事件。