Investigador demuestra el hackeo a PayPal

El investigador de seguridad egipcio, Yasser H. Ali, ha demostrado el hackeo a PayPal con un simple clic, aprovechando una vulnerabilidad crítica que podía haber puesto en peligro a 156 millones de clientes.

Afortunadamente, este ingeniero formaba parte de programa de recompensas Bug Bounty Program de PayPal destinado a adelantarse a los ciberpiratas detectando y corrigiendo este tipo de vulnerabilidades antes de su explotación.

Este es el caso. Yasser H. Ali comunicó a PayPal la vulnerabilidad y la firma dedicada a comercio electrónico que permite la transferencia de dinero entre usuarios, ya la ha solucionado sin que ningún cliente haya sido afectado. Además, el investigador ha recibido un premio de 10.000 dólares, de lo más elevado que conocemos por la detección de terceros de vulnerabilidades de este tipo.

La vulnerabilidad permitía ataques CSRF (Cross-Site Request Forgery) forzando al navegador de la víctima a enviar una petición a una aplicación web vulnerable. Con ello, se lograba el control total de una cuenta de usuario de PayPal, cambiar el sistema de pago, dirección de envío o correo electrónico.

PayPal fue la primera compañía de servicios financieros que implementó servicios de recompensas por encontrar vulnerabilidades. Una estrategia acertada como ha podido verse en este caso del que te mostramos el vídeo de demostración: