skip to Main Content

Attacco credential stuffing su PayPal, che cosa si sa

Paypal

La pigrizia degli utenti può costare caro: la stessa password usata su più app apre una infinità di porte, come hanno scoperto loro malgrado circa 35mila utenti PayPal. Ecco tutti i dettagli

PayPal ha reso noto che la piattaforma di pagamento è stata vittima di una violazione degli account che ha esposto alcuni dati personali. Non si tratta di un gesto hackler di forza bruta, quanto di una subdola penetrazione mediante la tecnica del credential stuffing che ha dunque sfruttato la complicità, per così dire, delle vittime stesse e della loro scarsa attenzione verso la sicurezza.

CREDENTIAL STUFFING, COS’È (E COME DIFENDERSI)

Gli attacchi credential stuffing sfruttano la pigrizia e l’ingenuità degli utenti che portano un buon numero di internauti a usare le stesse credenziali per accedere a più applicazioni, siti e servizi.

Di norma si basano sugli archivi di username e password raccolte in giro per la rete, il più delle volte a seguito di massicci data breach. Quindi, molto semplicemente, messe le mani su quel “tesoretto”, l’hacker di turno (in genere un infaticabile bot pronto a eseguire miliardi di tentativi) controlla se la stessa chiave venuta alla luce in relazione a un determinato servizio (es. la password di lavoro) apra anche altre porte.

Naturalmente questo genere di attacchi può facilmente essere evitato cambiando ripetutamente le password, sfruttando i dati biometrici o con il doppio passaggio che prevede lo sblocco via smartphone.

L’ATTACCO A PAYPAL

Il credential stuffing a PayPal avrebbe riguardato circa 35mila utenti e, secondo quanto comunica il gestore del servizio, si sarebbe verificato tra il 6 e l’8 dicembre 2022, bloccato nel momento in cui è stato rilevato dai sistemi interni.

I 34.942 utenti coinvolti sono stati informati tramite mail: secondo il rapporto durante l’attacco gli hacker hanno avuto accesso ai nomi completi, alle date di nascita, agli indirizzi postali, ai numeri di previdenza sociale e ai numeri di identificazione fiscale dei titolari degli account. Non ci sarebbero state violazioni dei conti interessati. Quanto carpito, tuttavia, opportunamente incrociato basta a ricreare false identità online o, con l’ausilio di software, risalire ad altre password.

Come viene spesso a seguito di simili eventi, la società ha anche avviato un’indagine interna per scoprire come gli hacker hanno ottenuto l’accesso agli account: una inchiesta che si è conclusa il 20 dicembre scorso che si è limitata ad appurare che terze parti non autorizzate hanno effettuato l’accesso agli account con credenziali valide.

Nella mail inviata agli utenti interessati, la piattaforma di pagamento precisa che non si è trattata di una violazione diretta dei propri sistemi e non ci sono prove che le credenziali siano state ottenute tramite violazioni di PayPal.

ISCRIVITI ALLA NOSTRA NEWSLETTER

Iscriviti alla nostra mailing list per ricevere la nostra newsletter

Iscrizione avvenuta con successo, ti dovrebbe arrivare una email con la quale devi confermare la tua iscrizione. Grazie da EnergiaOltre!

Errore

Back To Top
 

ISCRIVITI ALLA NOSTRA NEWSLETTER

Iscriviti alla nostra mailing list per ricevere la nostra newsletter

Iscrizione avvenuta con successo, ti dovrebbe arrivare una email con la quale devi confermare la tua iscrizione. Grazie da EnergiaOltre!

Errore