"Alle PayPal-accounts in 30 seconden te kraken" - Update
Een beveiligingslek in PayPal maakt het mogelijk om binnen dertig seconden volledige controle over alle accounts te krijgen, aldus een Britse beveiligingsonderzoeker. Volgens Matt Langley bevind de kwetsbaarheid zich in PayPal's "wachtwoord vergeten" optie. PayPal stuurt de "Password Forgotten Change tokens" naar ongeautoriseerde e-mailadressen, in plaats van het e-mailadres dat aan het account is gekoppeld.
"Als je de link volgt die ze je toesturen, en het wachtwoord verandert, heb je volledige toegang tot dat account. Geen speciale trucs of complexe hacks zijn vereist. Het is een bug in hun e-mailsysteem dat e-mailadressen corrumpeert", aldus Langley tegenover The Hacker News.
Update 14:18
Inmiddels laat Langley weten dat er toch geen probleem is en dat het 'slachtoffer' een account met zijn e-mailadres had geopend. Daarin waren een aantal karakters toegevoegd, maar Gmail negeert die en accepteert die als het zelfde e-mailadres. Het probleem ligt volgens de onderzoeker dan ook bij Gmail en niet bij PayPal.
Is dit bug al gefixed of wat... ?!
Zie: http://news.ycombinator.com/item?id=2660400
"It seems that the 'victim' had opened an account using an email address of mine, with extra characters thrown in, which Gmail ignores and accepts as the same email address, so it was gmail which uncorrupted the email address and sent the emails to me, not Paypal. I had previously reported an account set-up with fraudulent email address to Paypal many times in the past, but only yesterday noticed that the email address was different to mine, in a way which on any other email system in the world would be a different email address.
Cheeky bugger. I'm gonna have to ask them to close it down or at least change the email address.
but I guess I owe you all an apology" - Matt Langley
Kunnen ze nou nooit eens een veilig systeempje voor ons maken, of is dat te duur?
[edit]Ah, ik zie het al. De knuppel heeft eerst geroepen, toen pas echt getest.
This has been debunked, Paypal accounts are safe. We’ve spoken in depth to Matt Langley, the person who discovered the supposed issue, and it’s clear why he assumed there was a serious security breach but the issue is far less serious than initially thought.
Lees verder: http://thenextweb.com/industry/2011/06/16/paypal-vulnerability-allows-access-to-any-account-within-30-seconds/
Ik vind het wel slecht dat er op de PayPal site hier niets over staat!!
zonet nog even op me g-mail gekeken, heb volledige toegang verkregen tot:
windows live id
xbox id
paypal
itunes store ( creditcard is eraan gekoppeld )
meteen even een mailtje naar ze toegestuurd ( die ik ook uiteraard weer binnen kreeg ) met de melding dat ze maar beter een ander e-mail adres kunnen nemen.
in dit geval ging het om : fantadrink@gmail.com en fanta.drink@gmail.com
xoxo
/maak aan: duizen gmail accounts met een '.' ertussen
/fraudeer tot je belastingaangifte niet meer klopt
lekker makkelijk, maar nee, geen serieuse issue, want niemand zal dit doen na het horen van dit nieuws.. .. toch?
=> Gaat thuis direct eigen mailserver maken, genoeg van gegevens beheerd door prutsers
/maak aan: duizen gmail accounts met een '.' ertussen
Je moet juist zorgen dat je gmail adressen met een . vindt en dan adressen registreren zonder de punt.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
