Falha ainda sem correção pode permitir o roubo de dinheiro de usuários do PayPal

Uma falha de segurança descoberta recentemente no PayPal, ainda sem correção, pode permitir que invasores executem o roubo de dinheiro de usuários do serviço de pagamento. A falha, descoberta por um pesquisador de segurança no serviço de transferência de dinheiro do PayPal pode permitir que as vítimas sejam induzidas a concluir transações direcionadas ao invasor com um único clique.

Indução de click

Clickjacking, também chamado de correção de interface do usuário, é uma técnica em que um usuário inconsciente é induzido a clicar em elementos de página da Web aparentemente inócuos. Esses elementos pode ser botões, por exemplo, cujo objetivo é o de baixar malware, redirecionar os usuários para sites maliciosos ou divulgar informações confidenciais.

Esse método é bastante comum e, os usuários acabam não percebendo que estão sendo enganados. Isso porque os invasores exibem uma página invisível ou elemento HTML no topo da página visível, resultando em um cenário em que os usuários são enganados ao pensar que estão clicando na página legítima quando na verdade estão clicando no elemento não autorizado sobreposto a ela.

“Assim, o invasor está ‘sequestrando’ cliques destinados à página [legítima] e os roteando para outra página, provavelmente pertencente a outro aplicativo, domínio ou ambos”, escreveu o pesquisador de segurança h4x0r_dz em um post documentando as descobertas.

Falha de segurança do PayPal permite roubo de dinheiro dos usuários

O h4x0r_dz, que descobriu o problema no endpoint “www.paypal[.]com/agreements/approve”, disse que o problema foi relatado à empresa em outubro de 2021. Segundo ele, “Esse endpoint foi projetado para contratos de cobrança e deve aceitar apenas o billingAgreementToken”, que revelou que, em seus testes profundos, descobriu “que podemos passar outro tipo de token, e isso leva ao roubo de dinheiro da conta do PayPal da vítima”, afirma.