PayPal: hacker mettono in vendita online 15,8 milioni di credenziali, è allarme sicurezza
Nel Dark Web sta circolando un dump che contiene le credenziali d'accesso a 15,8 milioni di account di PayPal, è allarme per la sicurezza.
di Francesco Messina pubblicata il 19 Agosto 2025, alle 14:01 nel canale SicurezzaPayPal
PayPal si trova al centro di una vera e propria bufera in termini di sicurezza informatica, dopo che un attore malevolo ha affermato di avere in possesso e di mettere in vendita online le credenziali di accesso di milioni e milioni di utenti.
Secondo quanto rivelato da testate specializzate in cybersecurity, come Hackread e Cybernews, il cosiddetto "Global PayPal Credential Dump 2025" sta circolando attualmente nel dark web e il pacchetto conterrebbe ben 15,8 milioni di credenziali - coppie email-password - insieme ad alcuni endpoint specifici per ciascun utente che potrebbero essere sfruttati per automatizzare i login all'interno dei vari account.
PayPal: l'allarme sicurezza quantificato in GB e il ridimensionamento
Il totale dei dati pesa circa 1,1 GB, e il venditore chiede 750 dollari per consentire laccesso allintero archivio. Nonostante la questione appaia come molto preoccupante, PayPal ci ha tenuto a rassicurare gli utenti, ridimensionando un po' l'intera vicenda sostenendo che i dati proverrebbero, in realtà, da un attacco del 2022 già noto e gestito.
L'episodio aveva portato ad una multa da parte del governo USA all'azienda di 2 milioni di dollari per insufficienza delle misure di protezione dei dati personali. Tuttavia, il venditore dei dati ha negato questa ricostruzione, affermando che il materiale proverrebbe da un nuovo incidente avvenuto nel maggio 2025.
PayPal non riconosce l'allarme sicurezza
PayPal, curiosamente, non riconosce alcuna violazione o attacco hacker ricevuto proprio durante lo scorso mese di maggio. Gli esperti ipotizzano quindi che, se i dati fossero autentici, potrebbero essere stati sottratti tramite malware infostealer, software malevoli progettati per rubare credenziali direttamente dai dispositivi delle vittime.
Al momento non si hanno notizie certe relative alla veridicità del dump che sta circolando online ma, ovviamente, a prescindere da ciò, gli esperti suggeriscono agli utenti di aggiornare regolarmente le proprie password e di attivare sempre i meccanismi di autenticazione a due fattori.
SONY BRAVIA 8 II e BRAVIA Theatre System 6: il cinema a casa in formato compatto
KTC H27E6 a 300Hz e 1ms: come i rivali ma a metà prezzo
Cineca inaugura Pitagora, il supercomputer Lenovo per la ricerca sulla fusione nucleare
Accumulo a batterie, l'Europa si sveglia: il più grande del continente in costruzione in Germania
Intel rende anche gli IHS modulari: più economici, più semplici e più performanti
Tesla perde ancora pezzi: lascia l'azienda anche il responsabile di Model Y
Bungie in crisi? Destiny 2 sotto le aspettative, Marathon per il riscatto. E Sony si gode Helldivers 2
PS5 festeggia cinque anni e supera 84 milioni di unità andando oltre le aspettative
Patreon lancia Quips, un social network interno per connettere creator e fan
Honda richiama oltre 400mila Civic: c'è il rischio che una ruota si stacchi durante la guida
Manipolazione robotica: Adaptronics chiude un round da 3,15 milioni
Singles' Day 2025: le offerte AliExpress da non perdere per la Festa dei Single
Nasce in Belgio il primo parco solare per la produzione di idrogeno verde al mondo
Grande festa in Cina, Fiido esagera: fino a 1.300 euro di sconto sulle e-bike
Terapia genica 'one-shot' abbatte colesterolo e trigliceridi: prima sperimentazione umana riuscita
Il primo sconto in assoluto di iPhone 17 Pro: 256 GB a 1.299€
Mini Aspirapolvere 4 in 1 da 26.000Pa: l'arma segreta per auto, divani e peli di animali a soli 29,15€
18 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - infoIn realtà penso che molta gente utilizzi la stessa accoppiata mail-password su più siti web, il fatto che ora siano potenzialmente compromesse non fa piacere
1) Non è detto che l'utente abbia abilitato la 2FA
2) Anche se è abilitata, dipende cosa ha usato come seconda autenticazione. Metti che arriva un codice per email, e username e password sono le stesse di Paypal... bingo.
3) Avere comunque la tua email ed una password che magari hai usato più volte in altri servizi è un bel rischio.
Chiaramente la maggior parte degli utenti non fa cazzate simili, ma alla fine se spari nel mucchio di migliaia di persone, un centinaio di fessi li becchi sempre.
Non me lo aspetterei da una società di tale importanza, soprattutto nel settore finanziario, nel 2025...
Non me lo aspetterei da una società di tale importanza, soprattutto nel settore finanziario, nel 2025...
dici che hanno un file password.txt con le pw in chiaro ?
saranno le solite pw raccolte tramite email e phishing del tipo "clicca qui per rinnovare la password",
nel qual caso potrebbe avere anche la mia con email "yourmother@isabigslu*.com" e password "yourmotherfuc**********"
Non me lo aspetterei da una società di tale importanza, soprattutto nel settore finanziario, nel 2025...
Questa cosa infatti è strana.
Le password dovrebbero essere salvate in un database non in chiaro ma sotto forma di hash.
Se l'hacker accede all'intero database potrà provare con dei bruteforce a scoprire a quali password corrispondono tali hash, ma riuscirà a farlo soltanto per le password corte, senza caratteri strani o soggette a rischio dictionary attack. Quindi in teoria solo alcune.
Tuttavia quando ti fanno scegliere una password ti impongono che abbia una certa lunghezza minima e una certa quantità di caratteri particolari. Quindi in teoria nessuna sarabbe scopribile in tempi brevi con brute force..
Quindi mi chiedo, come hanno fatto ad avere tali password nella pratica?
La prima difesa di PayPal, allora, dovrebbe essere "noi non memorizziamo le password degli utenti", non "non ci risulta aver subito attacchi recenti"...
Della serie ti truffo in tutto e per tutto, pacco contropacco e paccotto..geni nel vendere fuffa!
Infatti Paypal dichiara che il dump risale ad un precedente leak del 2022
Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".