PayPal Multado con $2M por Brecha de Ciberseguridad que Expone Datos de Clientes

PayPal ha sido multada con $2 millones de dólares por el Departamento de Servicios Financieros (DFS) de Nueva York por fallos de ciberseguridad que resultaron en la exposición de los números de Seguro Social de los clientes a finales de 2022, como se informó por primera vez por Reuters.

La violación, que duró aproximadamente siete semanas, dejó datos sensibles, incluyendo nombres, fechas de nacimiento y números de Seguridad Social, vulnerables a los ciberdelincuentes, anunció DFS el jueves.

Adrienne Harris, superintendenta de servicios financieros de Nueva York, reveló que PayPal carecía de personal calificado para supervisar operaciones críticas de ciberseguridad y no proporcionó la capacitación adecuada para mitigar riesgos. Estas deficiencias facilitaron que los atacantes explotaran el sistema, señaló Reuters.

El problema salió a la luz el 6 de diciembre de 2022, cuando un analista de seguridad descubrió un mensaje en línea que hacía referencia a una vulnerabilidad, etiquetada como “PP EXPLOIT TO GET SSN”. Al día siguiente, el equipo de ciberseguridad de PayPal detectó un aumento en los intentos de acceso no autorizados en su plataforma, dijo Reuters.

Las investigaciones revelaron que los atacantes estaban empleando técnicas de “relleno de credenciales” para ver los formularios de impuestos federales que pertenecen a decenas de miles de clientes, según Reuters.

La brecha ocurrió después de que PayPal alteró las configuraciones de flujo de datos para expandir el acceso a estos formularios, exponiendo inadvertidamente información sensible. Harris también criticó a PayPal por no implementar medidas de seguridad básicas como la autenticación multifactorial y CAPTCHA para disuadir el acceso no autorizado, según informó Reuters.

En un comunicado, Reuters informa que PayPal reconoció la investigación y reafirmó su compromiso de proteger la información del usuario. “Proteger la información personal de los consumidores y mantener una plataforma segura es una prioridad máxima”, dijo la empresa.

Desde la violación, PayPal ha implementado autenticación multifactor para todas las cuentas de clientes de EE. UU., ha obligado a restablecer las contraseñas a los usuarios afectados y ha añadido CAPTCHA para mejorar la seguridad, señaló Reuters.

La multa de $2 millones está vinculada a violaciones de la regulación de ciberseguridad de Nueva York, que se estableció en 2017 para mejorar las protecciones para los servicios financieros, informa Reuters.