Werbung
Wie der ehemalige Hacker und heutige Sicherheitsforscher Razvan Cernaianu herausgefunden hat, kann das eigene PayPal-Guthaben mit einem simplen Trick verdoppelt werden. Die Anwendung des Tricks ist jedoch strafbar.
Hierfür werden drei PayPal-Benutzerkonten benötigt. Während eines davon mit dem eigenen Bankkonto verknüpft wird, wird bei den beiden anderen PayPal-Accounts einfach nur eine virtuelle Prepaid-Kreditkarte bzw. ein virtuelles Bankkonto hinterlegt. Anschließend überweist man mit seinem echten Konto eine beliebige Summe unter dem Vorwand eines Einkaufs auf eines der beiden anderen Konten. Von dort aus wird die Summe als Geschenk auf das dritte Konto transferiert. Anschließend muss der Inhaber des echten PayPal-Kontos eine Rückbuchung beantragen mit der Begründung, dass das gekaufte Produkt nicht angekommen sei.
Da die virtuelle Kreditkarte des zweiten Kontos aufgrund ihrer Prepaid-Funktion nicht weiter belastet werden kann und das Konto bereits leer geräumt wurde, springt PayPal für den Schaden bzw. den Betrag ein. Da das Geld auf Konto Nummer 3 liegt, kann die Summe wiederum als Geschenk auf das eigene Konto übertragen werden, womit man seinen Einsatz theoretisch verdoppelt hat.
Cernaianu hat PayPal bereits im Jahr 2010 auf den Fehler hingewiesen, wie er in seinem Blog schreibt. Über das Bug-Bounty-Programm, bei dem sicherheitsrelevante Bugs gemeldet werden können und in der Regel mit Geldprämien belohnt werden, wurde der Rumäne allerdings abgewiesen. Eine Geldprämie für das Finden der Sicherheitslücke wurde ihm nicht gewährt, weshalb er sich nun an die Öffentlichkeit wandte und keine Häme daraus macht, den Trick einfach zu veröffentlichen.
Laut den Kollegen von Chip.de sei sich PayPal des Problems bewusst, erklärte aber auch, dass durch diverse Sicherungsmaßnahmen derlei Betrugsversuche zumeist verhindert werden könnten, bevor das Geld das PayPal-System verlassen würde. Zudem arbeitete man eng mit den Strafverfolgungsbehörden zusammen. Warum man Cernaianu keine Geldprämie zukommen ließ, erklärte man auch. Nach Ansicht der Plattform wäre dies kein Fehler oder eine Schwachstelle im System, sondern vielmehr ein Bericht, wie man einen Betrug und damit eine Straftat durchführt.