PayPal ha estado enviando notificaciones a miles de usuarios para avisarles de una brecha de datos producida por el acceso a sus cuentas a través de ataques de relleno de credenciales. Explicando el ataque de manera más clara, los actores maliciosos han estado probando combinaciones de usuario y contraseña obtenidas de otras filtraciones de datos, y es que no son pocos los que terminan reutilizando una misma contraseña en varios servicios.

El 18 de enero PayPal lanzó un comunicado informando que sufrió un incidente de seguridad que afectó a una gran cantidad de cuentas de PayPal. Según explicó la compañía, entre el 6 y el 8 de diciembre de 2022 terceros no autorizados accedieron a cuentas de clientes utilizando sus credenciales de inicio de sesión.

PayPal dice no tener evidencia de que los datos de los usuarios hayan sido utilizado indebidamente como consecuencia del incidente. Según se detalla en el comunicado, durante esos dos días los atacantes tuvieron acceso a datos como nombre, dirección, número de seguro social, número de identificación tributaria o fecha de nacimiento. Pero es importante aclarar que el acceso a las cuentas de PayPal también permite obtener el historial de transacciones y obtener algunos datos de las tarjetas vinculadas.

Uno de los primeras medidas que tomó la app fue resetear las contraseñas de las cuentas afectadas en el incidente. De esta manera obligó a las personas a tener que establecer una nueva contraseña la próxima vez que inicien sesión.

Llevar los ataques a cabo manualmente mediante la obtención de unas credenciales para probarlas en varios servicios sería algo aparatoso, así que los atacantes suelen emplear un enfoque automatizado con bots que ejecutan listas de credenciales para rellenar los formularios de acceso a los servicios.

PayPal explica que el ataque de relleno de credenciales se produjo entre el 6 y el 8 de diciembre de 2022 y que tomó medidas nada más detectarlo. Sin embargo, la compañía no se quedó ahí, sino que además realizó una investigación interna para averiguar cómo obtuvieron los atacantes las credenciales de los usuarios y los correspondientes accesos a sus cuentas.

La empresa de intermediación de pagos terminó su investigación el 20 de diciembre de 2022, llegando a la conclusión de que terceros no autorizados lograron acceder con credenciales válidas. Por otro lado, también ha afirmado que no ha detectado ninguna brecha en sus sistemas y no tiene evidencia de que las credenciales fueran obtenidas a partir de sus bases de datos.

El informe publicado por PayPal en torno a la brecha de datos señala que esta afectó a un total de 34.942 usuarios. Durante los dos días que duró el ataque, los actores maliciosos lograron tener acceso a datos como nombres completos, fechas de nacimiento, direcciones postales, números de la seguridad social, números de identificación fiscal de los titulares de las cuentas, el historial de transacciones, los detalles de la tarjeta de crédito o débito y los datos de facturación de PayPal.

Para poner fin al ataque, PayPal tomó las medidas necesarias para limitar el acceso por parte de los atacantes y ha llevado a cabo de oficio el restablecimiento de las contraseñas de las cuentas que pudo confirmar que fueron violadas. Sin embargo, choca ver que, al menos según la versión de la compañía, los atacantes no llevaron a cabo ninguna transacción de dinero o no pudieron hacerlas. Tampoco le consta ningún mal uso de los datos a los que han accedido los actores maliciosos.

PayPal recomienda el uso de una contraseña fuerte y larga que combine caracteres alfanuméricos y símbolos y que no sea reutilizada (cosa a la que puede contribuir el uso de un gestor de contraseñas), además de aconsejar la habilitación de la autenticación en dos pasos a partir de la configuración de la cuenta. Los usuarios afectados por la brecha recibirán un servicio gratuito de monitoreo de identidad de dos años de Equifax.

Fuentes:

https://www.muycomputer.com/2023/01/20/paypal-brecha-35000-usuarios/

https://www.welivesecurity.com/la-es/2023/01/19/paypal-sufrio-incidente-expuso-informacion-personal-varios-usuarios/