Een Australische tiener heeft een manier gevonden waardoor het mogelijk is om de twee factor-authenticatie van PayPal te omzeilen door alleen een "speciale" PayPal-pagina te bezoeken. Het lek wordt veroorzaakt door de mogelijkheid om een PayPal-account aan een eBay-account te koppelen.

De koppeling zorgt ervoor dat als er iets op de veilingsite wordt gekocht dit via de betaaldienst wordt gedaan. Gebruikers die hun PayPal-account aan hun eBay-account willen koppelen moeten hiervoor vanuit eBay bij PayPal-inloggen, waar alleen de gebruikersnaam en wachtwoord voor wordt gebruikt. Als de gebruiker zijn koppeling bij PayPal heeft bevestigd wordt hij terug naar eBay gestuurd.

Gaat de gebruiker echter naar PayPal, dan is hij daar direct ingelogd en wordt er niet meer gecontroleerd of er twee factor-authenticatie voor het account staat ingeschakeld. Joshua Rogers informeerde PayPal op 5 juni van dit jaar over het probleem, maar de betaaldienst heeft nog altijd geen oplossing uitgerold. Daarop besloot de Australische tiener zijn bevindingen online te zetten.

Volgens Paco Hope van Cigital heeft Rogers PayPal-gebruikers onnodig aan risico's blootgesteld. "Het bouwen van veilige software is lastig en het vinden van lekken is het eenvoudige deel. Dit is een lek, geen bug, en het aanpassen van de manier waarop twee van de grootste online diensten samenwerken kan niet zomaar worden gedaan", aldus Hope tegenover SC Magazine.