Angriff auf PayPal-Konten

Bei Credential Stuffing-Angriffen versuchen Hacker, sich Zugang zu einem Konto zu verschaffen, indem sie Paare von Benutzernamen und Passwörtern ausprobieren, die sie aus Datenlecks auf verschiedenen Websites erhalten haben. Die Angriffe erfolgen automatisiert durch Bots, die Listen mit Anmeldedaten erstellen, die sie in verschiedenen Anmeldeportale stecken. Credential Stuffing zielt besonders auf Benutzer ab, die dasselbe Passwort für mehrere Online-Konten verwenden.

Fast 35.000 Benutzer betroffen

PayPal erklärt, dass der Credential Stuffing-Angriff zwischen dem 6. und 8. Dezember 2022 stattfand. Das Unternehmen entdeckte und entschärfte den Angriff, leitete aber auch eine interne Untersuchung ein, um herauszufinden, wie sich die Hacker Zugang zu den Konten verschaffen konnten. Am 20. Dezember 2022 schloss PayPal die Untersuchung ab und bestätigte, dass sich unbefugte Dritte mit gültigen Anmeldedaten bei den Konten angemeldet hatten. Die elektronische Zahlungsplattform behauptet, dass dies nicht auf einen Angriff auf die eigenen Systeme zurückzuführen ist und dass es keine Beweise dafür gäbe, dass die Anmeldedaten direkt von ihnen stammten.

Nach den Berichten von PayPal über die Datenschutzverletzung sind 34.942 Nutzer von dem Vorfall betroffen. Während der zwei Tage hatten die Hacker Zugang zu den vollständigen Namen, Geburtsdaten, Postadressen, Sozialversicherungsnummern und individuellen Steuernummern der Kontoinhaber. Auch die Transaktionshistorie, die Details der angeschlossenen Kredit- oder Debitkarten und die PayPal-Rechnungsdaten waren über die PayPal-Konten zugänglich. PayPal hat nach eigenen Angaben rechtzeitig Maßnahmen ergriffen, um den Zugriff der Hacker auf die Plattform zu beschränken und die Passwörter der Konten zurückzusetzen, bei denen ein Verstoß festgestellt wurde. Außerdem wird in der Meldung behauptet, dass die Angreifer weder versucht haben noch in der Lage waren, irgendwelche Transaktionen von den angegriffenen PayPal-Konten aus durchzuführen.

Passwörter für andere Online-Konten ändern

„Uns liegen keine Informationen vor, die darauf hindeuten, dass Ihre persönlichen Daten im Rahmen dieses Vorfalls missbraucht wurden oder dass Ihr Konto unbefugte Transaktionen enthält“, heißt es in der Mitteilung von PayPal an die betroffenen Nutzer. Das Unternehmen empfiehlt unter anderem dringend, die Passwörter für andere Online-Konten zu ändern. Darüber hinaus rät PayPal seinen Nutzern, im Menü „Kontoeinstellungen“ die Zwei-Faktor-Authentifizierung (2FA) zu aktivieren, die verhindern kann, dass Unbefugte auf ein Konto zugreifen, auch wenn sie einen gültigen Benutzernamen und ein gültiges Passwort haben.