Patzt PayPal bei der Sicherheit? Schwachstellen ungefixt

[English]Beunruhigende Geschichte, die mir gerade von Sicherheitsanalysten zugegangen ist. Der Anbieter PayPal hat seit einem Monat Sicherheitslücken in seinem System, die im Januar 2020 gemeldet, bisher aber nicht behoben sind. Hacker können diese missbrauchen, um PayPal- und Bankkonten abzuräumen. Zudem erreichen mich seit ungefähr 14 Tagen Mails von Nutzern, dass ihre PayPal-Konten missbraucht würden.

Meldungen über PayPal-Hacks

Hier im Blog hatte ich kürzlich im Artikel Massen-Newsletter-Spam und der Paypal-Konten-Hack über einen PayPal-Hack berichtet. Einem Kunden gingen tausende Anmeldungen für Newsletter zu. Am Ende des Tages stellte sich heraus, dass dessen PayPal-Konto gehackt und dann auf dessen Rechnung bestellt worden war. In den Kommentaren hat sich ein weiterer Betroffener gemeldet. Heute traf bei mir eine E-Mail von Blog-Leser Michael P. ein, der mir folgendes berichtete:

hast du evtl. Kenntnis darüber, dass momentan wieder eine Masche aktiv
ist, wo Scammer gehackte Paypal Accounts nutzen und bei CD-Keys
Playstation Network-Karten kaufen?

Ein Freund von mir hat vor ein paar Stunden eine E-Mail von Paypal (bzw.
eine Benachrichtigung über deren App) über die Transaktion bekommen. Er hat keine PS4 und die Karte hat er genauso wenig gekauft. Auch weiß er
nicht, woher derjenige seinen Paypal Account her hat.

Michael P. hat dann recherchiert und gesehen, dass es diese Masche wohl schon seit 2018
zu geben scheint. Michael hat mir einen Link auf das PayPal-Forum gepostet. Auf Seite 3 häufen sich die Meldungen von Betroffenen im Januar 2020. Da gibt es wohl jemanden, der am 27.01.20 eine Meldung abgesetzt hat. Diese Einzelfälle ergaben schon ein Bild, das da was im Busch ist. Die Frage: Wie kommen die Cyber-Kriminellen an die PayPal-Konten?

Seit letztem Jahr gibt es noch die PayPal-Betrugsmasche über eBay-Kleinanzeigen, wo Leute über Dreiecksgeschäfte abgezockt werden. Verkäufer 1 bietet Ware an, die ein Käufer (2) erwirbt. Diese setzt seinerseits eine ähnliche, aber fingierte, Kleinanzeige auf, und lässt sich von einem dritten Käufer per PayPal zahlen. Dabei gibt er aber die PayPal-Adresse von Verkäufer 1 an. Dieser erhält sein Geld und rückt die Ware an den Käufer (2) heraus. Der Käufer verschwindet, ohne Nutzer 3 die bezahlte Ware zu übersenden. Der reklamiert bei PayPal, worauf der Betrag vom Verkäufer zurückgebucht wird. Der bekommt also kein Geld und ist seine Ware los. Details sind z.B. bei SWR 3 hier (und bei Chip hier) erklärt. Hat aber wohl mit obigen Fällen nichts zu tun.

Nicht geschlossene PayPal-Schwachstellen

Eben erreichte mich eine Mail von CyberNews, die möglicherweise ein Puzzleteil im Bild, warum die PayPal-Accounts gehackt werden konnten, liefert. Die Sicherheitsanalysten sitzen in Vilnius und scheinen sich auch über BugBouty-Programme von Firmen zu finanzieren. Deren Sicherheitsexperten sind einer ziemlichen Sauerei, und dies in doppelter Form, auf die Spur gekommen, wenn die Informationen zutreffen. Die Experten warnen PayPal-Kunden vor Sicherheitsmängeln, die der Plattform vor fast einem Monat gemeldet, aber bisher nicht geschlossen wurden. Zudem hat es den Anschein, dass sie auch noch um die Bug-Bounty-Prämien geprellt worden sein könnten.

Betrug an Ethical-Hackern?

Im Mittelpunkt des Problems steht, nach den Aussagen von CyberNews, das Bug Bounty- und „Ethical Hacking“-Programm, das von HackerOne (www.HackerOne.com) für PayPal und zahlreiche andere große Unternehmen und Regierungsbehörden in den USA und Europa betrieben wird. Solche Programme sollten Hacker dafür belohnen, dass sie Unternehmen auf Schwachstellen aufmerksam machen. Große Firmen wie Google etc. nutzen dies, damit Hacker Schwachstellen melden. Eigentlich eine gute Sache, wie ich finde.

Die Erfahrung der Analysten von CyberNews zeigen jedoch die Schattenseiten bzw. die Befürchtungen, dass einige Unternehmen sich um Auszahlungen von Bug-Bounty-Prämien drücken. Und es gibt den Verdacht der Hacker-Community, dass gemeldete Bugs von den Gutachtern der Plattformen wie HackerOne mehr oder weniger kassiert werden, um die Bug-Bounty-Prämie für sich selbst zu beanspruchen.

Smoking Gun bei PayPal-Schwachstellen?

Im jüngsten Fall haben die Analysten von CyberNews PayPal wohl so etwas wie einen rauchenden Colt für die obigen Verdächtigungen gefunden. Die Analysten meldeten Paypal über das von HackerOne betriebene Bug Bounty-Programm erstmals in der ersten Januarhälfte sechs Schwachstellen.

• Drei der gemeldeten Schwachstellen wurden, laut Aussage von CyberNews, von HackerOne/PayPal nicht als Probleme anerkannt, aber dennoch stillschweigend von PayPal behoben.
• Die anderen drei Schwachstellen sind immer noch nicht behoben – PayPal bestreitet, dass zwei davon in seiner Verantwortung liegen.

Diese Schwachstellen erlauben Hackern PayPal-Konten zu kapern und die Bankkonten der Nutzer zu leeren, schreiben die Sicherheitsforscher.

HackerOne: Broken by Design?

Die Art und Weise, wie das System von HackerOne funktioniert, ist einfach: Bei HackerOne prüfen und kategorisieren eigene Sicherheitsanalysten schnell jedes gemeldete Problem und eskalieren oder schließen diese Meldungen, je nach Bedarf. Idee ist es, dass die HackerOne-Sicherheitsanalytiker gemeldete Probleme identifizieren, eine Replizierung versuchen und mit dem Anbieter kommunizieren, um an einer Lösung zu arbeiten. So weit die Theorie.

Bernard Meyer, Senior Researcher von CyberNews, hat nun seine eigenen Erfahrungen mit diesem Ansatz gemacht. Er sagt: „Es gibt hier einen großen Fehler: Diese Sicherheitsanalytiker, die Berichte über Schwachstellen bewerten, sind auch aktive Bug-Bounty-Hacker. Im Wesentlichen haben diese Sicherheitsanalytiker die Macht, ein gemeldetes Problem zu eskalieren, zu verzögern oder zu schließen.” Das verleite zum Betrug und Missbrauch, so Meyer. Die Gutachter könnten in böser Absicht handeln und den ursprünglichen Bericht verzögern, während sie die Schwachstelle selbst mit einer anderen Identität melden, um die Prämie einzusammeln, und dann den ursprünglichen Bericht als nicht zutreffend oder vielleicht als Duplikat schließen.

„Das System ist anfällig für Missbrauch, insbesondere da die Sicherheitsanalytiker auf HackerOne generische Benutzernamen verwenden. Das bedeutet, dass es keine wirkliche Möglichkeit gibt, zu erfahren, was sie auf anderen Bug-Bounty-Plattformen tun.”, so Meyer weiter.

Schwachstellen gemeldet, leer ausgegangen und abgestraft

Als die Analysten die sechs Schwachstellen bei PayPal entdeckten, trafen sie bei HackerOne, laut eigenen Aussagen, auf nicht reagierende Mitarbeiter, vage Antworten und oft auch auf Verweigerung. Dabei gefährdeten die Schwachstellen die Sicherheit von Millionen PayPal-Benutzern. Die Sicherheitsanalysten beschwerten sich, als sie merkten, was schief lief, und versuchten Druck Druck auszuüben, damit die Meldungen weiter geleitet würden. HackerOne entfernte, so die Aussage von Cybernews, dann Punkte vom Reputationswert des betreffenden Benutzerkontos. Dadurch wurden die Cybernews Profile zur PayPal-Meldung auf eine verdächtige, spamähnliche Stufe zurückgestuft.

Bitter, denn die Leute schreiben, dass dies geschah, obwohl die von ihnen gemeldeten Schwachstellen nachträglich gepatcht wurden. Prämien gab es für diese Meldungen keine und nicht mal eine Erwähnung oder ein Dankeschön erhielten die Sicherheitsforscher. Stattdessen waren sie auf HackerOne noch herabgestuft worden – oder deutlicher ausgedrückt: Auf der Plattform verbrannt. Sie standen sich am Ende des Tages schlechter, als wenn sie nichts gemeldet hätten.

PayPal: Schlechter Ruf unter Bug-Bounty-Jägern

Könnte man als Einzelfall, unglückliche Verkettung von Umständen oder einfach falsche Darstellung der CyberNews-Leute abtun. Dazu schreiben die Leute aber: „Auch unsere Analysten sind nicht die einzigen ethischen Hacker, die dies erleben. PayPal hat den Ruf, dass es die Zahlung legitimer Bug-Bounty-Prämien vermeidet. So wird der Fall des 17-jährigen Hackers aufgeführt, der 2013 einen dicken Fehler bei PayPal gefunden hat. PayPal weigerte sich zu bezahlen, weil der Hacker zu jung war. “ Der Fall von Robert Kugler aus dem Jahr 2013 und weitere Fälle zu PayPals Verhalten im Bug-Bounty-Programm sind hier (gelöscht) erwähnt.

Die sechs PayPal-Schwachstellen

Die Sicherheitsforscher haben den aktuellen Fall in diesem Beitrag samt der Schwachstellen dokumentiert. So lässt sich die Zweifaktor-Authentifizierung (2FA) bei PayPal wohl leicht aushebeln. Hier eine Liste mit noch offenen Schwachstellen, die die Leute von CyberNews mir bereitgestellt haben.

Lediglich drei Schwachstellen (#4 Full name change, #5 Self-help SmartChat vulnerability on PayPal und #6 Security questions persistent XSS) sind inzwischen behoben. Die Details sind im CyberNews-Artikel beschrieben.

Was mir die Tage und heute aufgefallen ist: Ich kann aktuell in meinem PayPal-Benutzerkonto das Kennwort nicht so ändern, wie ich will. Es werden fälschlich ungültige Zeichen gemeldet und das neue Kennwort nicht angenommen. Weiterhin habe ich versucht, das eingetragene Bankkonto zu entfernen – geht nicht. Broken by Design.

Ergänzung: Langsam nimmt das Ganze unerfreuliche Züge an – da ioh binnen 2 Wochen jetzt einige Missbrauchsfälle im Blog thematisiert habe (siehe Linkliste).

Ähnliche Artikel:
Neues zu unberechtigten PayPal-/Google Pay-Abbuchungen
Betrug: Unberechtigte Google Pay Abbuchungen bei Paypal
Massen-Newsletter-Spam und der Paypal-Konten-Hack