PayPal ha emitido una notificación formal sobre una fuga de datos en la que revela que un error de codificación en su solicitud de préstamos PayPal Working Capital (PPWC) expuso la información personal identificable (PII) de un número no revelado de clientes durante aproximadamente seis meses, desde el 1 de julio de 2025 hasta el 13 de diciembre de 2025.

PayPal ha emitido una notificación formal sobre una brecha de datos en la que un error de codificación en su solicitud de préstamos PayPal Working Capital (PPWC) expuso la información de identificación personal (PII) de un número no revelado de clientes durante aproximadamente seis meses, desde el 1 de julio de 2025 hasta el 13 de diciembre de 2025.

La compañía detectó la exposición no autorizada el 12 de diciembre de 2025 y notificó formalmente a los clientes afectados mediante una comunicación escrita fechada el 10 de febrero de 2026, desde su sede en San José, California.

La brecha no fue resultado de una campaña de intrusión externa, sino de un defecto interno en el software: un cambio de código en la interfaz de la aplicación de préstamos PPWC que permitió, de manera inadvertida, que terceros no autorizados accedieran a la PII de los clientes.

PayPal confirmó que el cambio de código responsable ya ha sido revertido y que el acceso no autorizado a sus sistemas ha sido bloqueado. La empresa también aclaró que ninguna investigación policial retrasó la emisión de esta notificación.

Brecha de datos en PayPal

Las categorías de información personal potencialmente expuestas durante el período de la brecha son altamente sensibles e incluyen nombre completo, dirección de correo electrónico, número de teléfono, dirección comercial, número de Seguro Social (SSN) y fecha de nacimiento.

La combinación de SSN y fecha de nacimiento junto con los datos de contacto comerciales crea un perfil de alto riesgo para el robo de identidad, el fraude financiero y los ataques de ingeniería social dirigidos a las personas afectadas.

PayPal señaló que un pequeño número de clientes también sufrió transacciones no autorizadas en sus cuentas, y la empresa ya ha reembolsado a esos usuarios.

Tras el descubrimiento, PayPal inició una investigación completa, bloqueó el acceso no autorizado a sus sistemas e impuso restablecimientos obligatorios de contraseñas para todas las cuentas afectadas. Además, implementó controles de seguridad mejorados que exigen nuevas credenciales en el próximo inicio de sesión.

Como medida de remediación, la compañía ofrece dos años de monitoreo de crédito gratuito en las tres principales agencias (Equifax, Experian y TransUnion) e servicios de restauración de identidad a través de Equifax Complete™ Premier, que incluye hasta $1,000,000 en cobertura de seguro contra robo de identidad.

Los usuarios afectados deben registrarse en Equifax usando su código de activación antes del 31 de julio de 2026.

A los clientes afectados se les recomienda revisar el historial de transacciones de sus cuentas, monitorear sus informes de crédito a través de annualcreditreport.com y considerar colocar una alerta de fraude o un congelamiento de crédito en las tres principales agencias (Equifax, Experian y TransUnion) sin costo alguno.

PayPal también recordó a los usuarios que la empresa nunca solicitará credenciales de cuenta, contraseñas o códigos de autenticación de un solo uso por llamada, mensaje de texto o correo electrónico.