Paypal schließt Lücke in iPhone-App

Der Bezahldienst hat von ihrer Existenz aus der Zeitung erfahren und innerhalb von 24 Stunden reagiert. Auf den Entdecker der Lücke ist man bei Paypal nicht gut zu sprechen. "Wir bitten alle darum, vor der Öffentlichkeit erst einmal uns zu informieren."

von Elinor Mills und Florian Kalenda am 4. November 2010 , 13:42 Uhr

Paypal hat seine iPhone-App aktualisiert, um eine gefährliche Sicherheitslücke zu schließen. Sie ermöglichte einen so genannten „Man-in-the-Middle„-Angriff, mit dem Kriminelle theoretisch die Zugangsdaten von Anwendern abgreifen konnten.

Paypal-Sprecher Anuj Nayar zufolge war es möglich, Anwendern eine scheinbar legitime Paypal-Seite unterzuschieben, während sie in Wahrheit ein Spionageportal besuchten. Das funktionierte nur, wenn der iPhone-Besitzer ein ungesichertes WLAN für die Internetverbindung nutzte.

Betroffen ist nur die bisher über 4 Millionen Mal heruntergeladene iPhone-App, nicht jedoch ihr Android-Pendant. Anwender sollten das Programm möglichst umgehend erneut aus dem App Store herunterladen.

„Wir glauben nicht, dass einer unserer Kunden von der Lücke betroffen war. Wenn doch, käme Paypal zu 100 Prozent für den Schaden auf“, sagt Nayar. Man habe von der Lücke aus dem Wall Street Journal erfahren, an das sich wiederum die Sicherheitsfirma ViaForensics gewandt hatte. Der Patch wurde binnen 24 Stunden nach Erscheinen des Zeitungsartikels erstellt.

Paypal ist nicht gerade begeistert, dass ein Sicherheitsforscher Anwender Gefahren aussetzt, indem er statt des Softwareherstellers eine Zeitung informiert. Nayar: „Wir arbeiten eng mit der Security-Community zusammen, und wir bitten alle darum, vor der Öffentlichkeit erst einmal uns zu informieren.“