Der heutige Tag begann mit einer Überraschung. Beim Blick in die Mailbox sehe ich 3 Mails im PayPal-Ordner über Zahlungen an Google Payment Ireland Limited und bei der Beschreibung solche Dinge wie „Prachtvoller Beutel“. Ähm? Also erst mal mit meiner Frau zum Einkaufen gefahren und sie gefragt, ob sie diese Zahlungen gemacht hat. Nein, hat sie nicht, zu der Zeit als die Mails kamen lag sie nämlich schlafend neben mir im Bett. Nächste Vermutung die wir von unterwegs aber nicht klären können, ist es vielleicht Phishing so dass jemand mich dazu verleiten will auf den „Zahlungsdetails“-Link zu klicken und mich dann bei PayPal einzuloggen und so meine Daten abzugreifen?

Wieder daheim am PC sehe ich eine weitere Zahlung in der Mailbox. Also mal bei PayPal einloggen, aber nicht über den Link sondern über die Eingabe in der Browser-Zeile. Bei den Transaktionen sehe ich dann das hier:

Na super, irgendwer nutzt da mein PayPal-Konto für seine Zwecke. WTF? Wie kommen die an mein Konto?

Egal, erst mal das Passwort für das Konto geändert, damit dieser Angreifer hoffentlich keinen Zugriff mehr hat. Wobei es mich schon wundert, denn wenn ich oder meine Frau was via PayPal bezahlen kommt in 90% der Fälle eine SMS mit einem Sicherheitscode den man eingeben muss um die Zahlung durchzuführen.

Nächste Vermutung: Ist mein Google-Konto vielleicht gehackt und jemand bucht hier was ab? Also mal bei Google eingeloggt und geschaut, aber Google Payments von meinem Google-Konto gehen nur über die Kreditkarten und definitiv nicht über PayPal. Was natürlich nicht heißt, dass der Angreifer nicht auch bei Google einen Link zu Paypal hinterlegen kann, aber dann sollten die obigen Sicherheitsmaßnahmen wieder greifen.

Hatte PayPal ein Datenleck bei dem Zugangsdaten abgeflossen sind und jetzt im Darknet verfügbar. Ich hoffe doch nicht, denn Passwörter sollte auch Paypal nur insoweit kennen als es den Hashwert aus dem Passwort irgendwo hinterlegt hat und diesen dann mit dem Hashwert des eingegebenen Passworts vergleicht. Passwörter im Klartext irgendwo zu speichern ist eine sehr sehr dumme Idee und ich hoffe inständig, dass PayPal nicht so dumm ist.

Wie also könnte der Zugang zu PayPal noch kompromittiert worden sein? Gestern hatte ich einen merkwürdigen Vorfall mit PayPal, der möglicherweise mit dem Angriff zu tun hat. Ich habe bei Obi im Onlineshop etwas bestellt und das wollte ich bequem mit PayPal bezahlen, da ja der Händler damit auch gleich die Lieferadresse von PayPal bekommt.

Also beim Warenkorb auf den „Direkt zu PayPal“-Button geklickt und ich kam bei einem Overlay raus das vom Browser wohl als von PayPal kommen akzeptiert wurde, denn er füllte auch gleich die Zugangsdaten aus. Das Merkwürdige war allerdings nach dem Login, dass mir dann im Popup-Fenster sowohl mein Girokonto als auch eine Kreditkarte nur ausgegraut angezeigt wurden. Die Kreditkarte weil sie „expired“ ist, aber das Girokonto ist das, über welches alle Paypal-Zahlungen abgewickelt werden. Also warum will das Ding von mir jetzt ein weiteres Konto oder eine weitere Karte?

Also mal direkt bei PayPal eingeloggt in einem anderen Browserfenster und da sehe ich kein Problem mit meinem Girokonto. Na gut, wenn es so nicht geht, dann eben über den Obi-Account und Bezahlung mit der aktuellen Kreditkarte ganz ohne PayPal.

Soweit so schlecht. Leider habe ich keinen Screenshot von der nicht funktionierenden PayPal-Zahlung, doch jetzt in der Analyse des Vorfalls fällt mir auf, dass aktuell bei PayPal gar keine Kreditkarte hinterlegt ist bzw. diese nicht angezeigt wird (vielleicht weil sie „expired“ ist).

Also bei PayPal ein Problem aufgemacht und im Zuge dessen durfte ich nochmals ein neues Passwort vergeben. Mittlerweile eine Mail bekommen, dass die Zahlung storniert wurde, aber in Firefox sehe ich die Zahlungen weiter in der Übersicht und wenn ich auf eine der Zahlungen klicke heißt es dass es damit ein Problem gab und ich das bei „Problemlösungen“ einsehen kann. Nur, dort sehe ich nichts, weder in Firefox noch im Chromium Browser. Ernsthaft jetzt PayPal? Erschwerend kommt hinzu, dass in der Mail von PayPal eine „Nummer der Abbuchungsvereinbarung“ referenziert wird die ich aber bei den Transaktionen gar nicht sehe. Also alles maximal intransparent.

Nun denn, sollte einer dieser Posten tatsächlich von meinem Girokonto per Lastschrift abgebucht werden, dann werde ich dieser Lastschrift widersprechen.

Meine nächste Aktion wird aber nun auch sein, Obi zu informieren damit die mal schauen ob das „Leck“ auf ihrer Seite passiert bzw. irgend ein Man-in-the-Middle so an die PayPal-Daten kommt.