El Estado de Nueva York ha anunciado un acuerdo con PayPal por valor de 2.000.000 de dólares por incumplimiento de la normativa estatal sobre ciberseguridad, que dio lugar a una filtración de datos en 2022.

La acción del Departamento de Servicios Financieros (DFS) dice que los actores de amenazas se aprovecharon de las brechas de seguridad en los sistemas de PayPal para llevar a cabo ataques de relleno de credenciales que proporcionaron acceso a información sensible de los clientes.

En 2023, PayPal reveló que los autores de la amenaza llevaron a cabo un ataque a gran escala de relleno de credenciales entre el 6 y el 8 de diciembre de 2022, en el que se violaron 35.000 cuentas.

Los datos expuestos en aquel momento incluían nombres completos, fechas de nacimiento, direcciones postales, números de la seguridad social y números de identificación fiscal individuales.

El anuncio del DFS de Nueva York arroja más luz sobre la filtración, explicando que uno de los fallos de seguridad de PayPal fue un error en la forma de distribuir los formularios fiscales 1099-K en la plataforma.

«Los datos de los clientes quedaron expuestos después de que PayPal implementara cambios en los flujos de datos existentes para poner el formulario 1099-K del IRS a disposición de un mayor número de sus clientes», explica el DFS.

«Sin embargo, los equipos encargados de implementar estos cambios no estaban formados en los sistemas y procesos de desarrollo de aplicaciones de PayPal. Como resultado, no siguieron los procedimientos adecuados antes de poner en marcha los cambios.»

Tras la implementación defectuosa, los ciberdelincuentes que disponían de credenciales válidas para cuentas PayPal pudieron acceder a esas cuentas y a sus formularios 1099-K, lo que reveló mucha información sensible.

El éxito de estos ataques de «relleno de credenciales» se basó en la falta de protección de autenticación multifactor (MFA), que no era obligatoria en la plataforma en ese momento.

Esto, combinado con unos controles de acceso deficientes que permitían intentos de inicio de sesión automatizados sin CAPTCHA ni limitación de velocidad, constituyeron fallos de cumplimiento clave para PayPal.

La orden de consentimiento especifica infracciones de 23 NYCRR § 500.3, 500.10 y 500.12 del Reglamento de Ciberseguridad de Nueva York por no aplicar políticas adecuadas de ciberseguridad, formación del personal y controles de autenticación.

Aunque PayPal adoptó varias medidas correctoras tras el descubrimiento de la brecha, entre ellas enmascarar los datos confidenciales en los formularios del IRS, aplicar CAPTCHA y limitación de tarifas, y hacer obligatoria la MFA para todas las cuentas de clientes de EE.UU., esto llegó demasiado tarde, según el DFS.

Los términos del acuerdo obligan a PayPal a pagar una multa de 2 millones de dólares en un plazo de 10 días, mientras que no se tomarán más medidas a menos que el DFS de Nueva York descubra nuevas infracciones.

Fuentes:

https://www.bleepingcomputer.com/news/security/paypal-to-pay-2-million-settlement-over-2022-data-breach/