Betroffen ist die Android-App von PayRange, in der die Prüfung von TLS-Zertifikaten fehlerhaft umgesetzt ist. Innerhalb der in die App eingebetteten Webviews – also der Bereiche, in denen Webinhalte direkt in der App dargestellt werden – werden auch ungültige Zertifikate akzeptiert. Damit fällt der Schutzmechanismus weg, der sicherstellen soll, dass die App tatsächlich mit dem echten Gegenüber kommuniziert und nicht mit einer zwischengeschalteten Station. Ein Angreifer, der den Netzwerkverkehr des Nutzers erreichen kann, etwa in einem gemeinsam genutzten oder manipulierten Netzwerk, kann sich so in die verschlüsselte Verbindung einfügen und deren Inhalt mitlesen. Er benötigt dafür weder Zugangsdaten noch einen Zugriff auf das Gerät. Auf diese Weise lassen sich vom Nutzer übermittelte Daten abgreifen. Da die App im Umfeld bargeldloser Bezahlvorgänge eingesetzt wird, betrifft dies potenziell auch sensible Konto- und Zahlungsinformationen.