- CIUDAD DE MÉXICO
El pasado 18 de enero, la compañía de pagos en línea anunció que los datos de múltiples de usuarios fueron vulnerados, aunque no reveló la cifra exacta de las personas afectadas.
Medios informativos como BleepingComputer informaron que un informe de violación de datos de PayPal reportó que más de 35 mil personas resultaron afectadas."No tenemos información que sugiera que se haya hecho un uso indebido de su información personal como resultado de este incidente, ni que haya transacciones no autorizadas en su cuenta. Tampoco hay pruebas de que sus credenciales de inicio de sesión se obtuvieran de ningún sistema de PayPal", agregó.
Según la empresa, los hechos ocurrieron del 6 al 8 de diciembre, fechas en las que los atacantes tuvieron acceso a datos como nombre, dirección, número de seguro social, número de identificación tributaria o fecha de nacimiento.
PayPal aseguró que no hay evidencia de que las credenciales hayan sido obtenidas de los sistemas, lo que sugiere que estas fueron obtenidas de brechas de seguridad pasadas y lograron acceder mediante algún tipo de ataque de fuerza bruta.
La compañía experta en ciberseguridad Eset informó que esta forma de ciberdelito es conocido como 'credential stuffing' (robo de credenciales), que ocurre cuando cibercriminales de manera automatizada prueban con direcciones de correos y contraseñas que fueron filtradas en brechas pasadas hasta dar con alguna cuenta que siga utilizando esas mismas claves.
La empresa aseguró que tener una extensa contraseña no será suficiente y que mantener activa la autenticación en dos pasos es efectivo para prevenir este tipo de ataques.
"El riesgo de que hayan tenido acceso a esta información está relacionado con la posibilidad de ser blanco de ataques de phishing o de robo de identidad. Los atacantes pueden comercializar estos datos o pueden incluso utilizarlos ellos mismos para realizar fraude", apuntó Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de Ese en Latinoamérica.
Para paliar los daños, PayPal reseteó las contraseñas de las cuentas afectadas en el incidente, medida con la cual las víctimas se vieron obligadas a establecer una nueva contraseña para su cuenta en la plataforma.