PayPal rozesílá oznámení o narušení dat tisícům uživatelů, kteří měli přístup k jejich účtům prostřednictvím credential stuffing útoků, které odhalily některá osobní data.
Credential stuffing jsou útoky, při kterých se hackeři pokoušejí získat přístup k účtu tím, že zkoušejí páry uživatelských jmen a hesel pocházejících z úniků dat na různých webech.
Tento typ útoku se opírá o automatizovaný přístup, kdy roboti spouštějí seznamy pověření, aby se „nacpali“ do přihlašovacích portálů pro různé služby.
Credential stuffing se zaměřuje na uživatele, kteří používají stejné heslo pro více online účtů, což je známé jako „recyklace hesla“.
Postiženo bylo téměř 35 000 uživatelů
PayPal vysvětluje, že k útoku došlo mezi 6. prosincem a 8. prosincem 2022. Společnost jej v té době odhalila a zmírnila, ale také zahájila interní vyšetřování, aby zjistila, jak hackeři získali přístup k účtům.
Do 20. prosince 2022 společnost PayPal ukončila vyšetřování a potvrdila, že se k účtům přihlásily neoprávněné třetí strany s platnými přihlašovacími údaji.
Platforma pro elektronické platby tvrdí, že to nebylo způsobeno narušením jejích systémů a nemá žádné důkazy o tom, že by přihlašovací údaje uživatelů byly získány přímo od nich.
Podle zprávy o narušení dat od společnosti PayPal bylo incidentem zasaženo 34 942 jejích uživatelů. Během dvou dnů měli hackeři přístup k úplným jménům držitelů účtů, datům narození, poštovním adresám, číslům sociálního zabezpečení a individuálním daňovým identifikačním číslům.
Transakční historie, připojené údaje o kreditní nebo debetní kartě a fakturační údaje PayPal jsou na účtech PayPal také přístupné.
PayPal říká, že podnikl včasné kroky k omezení přístupu vetřelců k platformě a resetoval hesla účtů, u kterých bylo potvrzeno, že byly narušeny.
Oznámení také tvrdí, že útočníci se nepokusili nebo se jim nepodařilo provést žádné transakce z narušených účtů.
„Nemáme žádné informace, které by naznačovaly, že některé z vašich osobních údajů byly zneužity v důsledku tohoto incidentu nebo že na vašem účtu byly nějaké neoprávněné transakce,“ stojí v oznámení společnosti PayPal pro dotčené uživatele. „Resetovali jsme hesla dotčených účtů a implementovali jsme vylepšené bezpečnostní kontroly, které po vás budou vyžadovat, abyste si při příštím přihlášení ke svému účtu vytvořili nové heslo.“
Dotčení uživatelé obdrží bezplatnou dvouletou službu sledování identity od společnosti Equifax.
Společnost důrazně doporučuje, aby příjemci oznámení změnili hesla pro jiné online účty pomocí jedinečného a dlouhého řetězce. Dobré heslo má obvykle alespoň 12 znaků a obsahuje alfanumerické znaky a symboly.
PayPal navíc uživatelům doporučuje aktivovat ochranu pomocí dvoufaktorového ověřování (2FA) z nabídky „Nastavení účtu“, která může zabránit neoprávněné straně v přístupu k účtu, i když má platné uživatelské jméno a heslo.
Zdroj: bleepingcomputer.com
Zdroj: IT SECURITY NETWORK NEWS
