Финансово-технологичната компания PayPal започна да уведомява свои клиенти за пробив в защитата на лични данни, причинен не от хакерско проникване, а от софтуерна грешка в приложението за бизнес заеми PayPal Working Capital. В резултат на дефекта чувствителна информация е била достъпна за неоторизирани лица в продължение на близо шест месеца през 2025 г.

Инцидентът е засегнал ограничен брой потребители, но типът изложени данни поставя случая сред по-сериозните от гледна точка на риск от кражба на самоличност и финансови злоупотреби.

Какви данни са били изложени

Според уведомленията, изпратени до засегнатите клиенти, експозицията е продължила от 1 юли до 13 декември 2025 г., като включва:

• имена и имейл адреси

• телефонни номера и бизнес адреси

• социалноосигурителни номера

• дати на раждане

PayPal е открила проблема на 12 декември 2025 г., а още на следващия ден е върнала проблемната промяна в кода, с което е прекратен неоторизираният достъп.

Не пробив, а дефект – но с реални последици

По думите на компанията системите на PayPal не са били компрометирани от външна атака, а става дума за вътрешна грешка в логиката на приложението. Въпреки това, PayPal потвърждава, че при малък брой потребители са установени неразрешени транзакции, директно свързани с инцидента, като сумите вече са възстановени.

В последващо изявление компанията уточнява, че около 100 клиента са били реално засегнати – детайл, който не намалява сериозността на случая, предвид характера на данните.

Мерки за ограничаване на щетите

Като част от реакцията си PayPal:

• нулира паролите на всички засегнати акаунти

• изисква създаване на нови идентификационни данни при следващо влизане

• предлага двугодишен безплатен мониторинг на кредитния профил и услуги за възстановяване на самоличност чрез Equifax

• напомня, че никога не изисква пароли или кодове по телефон, SMS или имейл – честа практика при фишинг кампании след пробиви

Повтарящ се проблем с киберсигурността

Случаят идва на фона на предишни инциденти, включително масова атака с credential stuffing през 2022 г., засегнала 35 000 акаунта, както и споразумение за 2 млн. долара с щата Ню Йорк през 2025 г. за неспазване на регулации за киберсигурност.

Текущият инцидент ясно показва, че не само външните атаки, но и вътрешните софтуерни грешки представляват критичен риск, особено във финансови платформи, работещи с високочувствителни лични и идентификационни данни.