IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

PayPal a été victime d'une attaque massive par credential stuffing qui a exposé près de 35 000 comptes


Sujet :

Sécurité

  1. #1
    Chroniqueur Actualités
    Avatar de Anthony
    Homme Profil pro
    Rédacteur technique
    Inscrit en
    novembre 2022
    Messages
    142
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Gironde (Aquitaine)

    Informations professionnelles :
    Activité : Rédacteur technique

    Informations forums :
    Inscription : novembre 2022
    Messages : 142
    Points : 2 285
    Points
    2 285
    Par défaut PayPal a été victime d'une attaque massive par credential stuffing qui a exposé près de 35 000 comptes
    PayPal a été victime d'une attaque massive par credential stuffing qui a exposé près de 35 000 comptes, mais affirme qu'aucune donnée personnelle n'a été utilisée illicitement après l'incident

    PayPal a commencé à envoyer des notifications de violation de données à des milliers de ses utilisateurs dont les comptes ont été accessibles via des attaques par credential stuffing qui ont exposé certaines données personnelles. Près de 35 000 comptes ont été compromis dans l'attaque qui a eu lieu entre le 6 et le 8 décembre 2022.

    PayPal dit avoir pris des mesures pour limiter l'accès des intrus et réinitialiser les mots de passe des comptes violés. "Nous n'avons aucune information suggérant qu'une de vos informations personnelles a été utilisée à mauvais escient à la suite de cet incident, ou qu'il y a des transactions non autorisées sur votre compte", peut-on lire dans l'avis de la société aux utilisateurs concernés.

    Nom : PayPal-HQ-640x427.jpg
Affichages : 7206
Taille : 41,6 Ko

    Sam Curry, responsable de la sécurité chez Cybereason, déclare : "Une partie de la beauté des systèmes de paiement réside dans leur simplicité et leur facilité d'utilisation : il y a aussi peu de "clics" que possible ou de défis ajoutés au flux d'achat. Cependant, PayPal ne peut tenter que quelques solutions à ce problème. Tout d'abord, il peut ajouter une authentification multifactorielle, soit par l'ajout d'un défi, soit par la mise en place de facteurs d'authentification non interruptifs. C'est ce qu'elle fait dans une certaine mesure, mais le simple succès de 35 000 compromissions indique que des améliorations pourraient être apportées. Deuxièmement, l'entreprise peut également ajouter plus d'analyses pour examiner les modèles d'exploitation, bien que cela ait un effet limité puisque les attaquants peuvent simplement ralentir et changer les modèles de "stuffing" assez simplement d'un point de vue opérationnel. En fin de compte, cependant, les utilisateurs doivent participer à leur propre sauvetage dans une certaine mesure et faire tourner les mots de passe, utiliser des coffres-forts de mots de passe, utiliser des mots de passe uniques et ainsi de suite ; donc finalement PayPal peut avoir un programme pour aider les utilisateurs à faire cela au-delà de la simple surveillance du crédit."

    Patrick Wragg, responsable de la réponse aux cyberincidents chez Integrity360, convient que les utilisateurs doivent intensifier leurs propres efforts en matière de sécurité : "Le fait d'être la proie du "credential stuffing" (tel que rapporté) souligne l'importance d'une solution MFA (Multi-Factor Authentication) robuste. Chaque incident de credential stuffing rencontré par l'équipe IR d'Integrity360 montre que les victimes choisissent toujours des mots de passe faciles à retenir (et donc à deviner). L'ajout de l'étape de sécurité supplémentaire qu'est la MFA signifie que la force du mot de passe n'est pas le seul obstacle que les attaquants doivent franchir."

    Julia O'Toole, PDG de MyCena Security Solutions, souligne le rôle des données extraites du Dark Web :

    Il s'agit encore d'une autre attaque par "credential stuffing" qui a été annoncée ces derniers jours, et elle montre une fois de plus comment les attaquants récupèrent constamment des données sur le Dark Web pour exploiter davantage les informations compromises.

    PayPal a déclaré qu'elle n'avait aucune preuve de l'utilisation malveillante des comptes d'utilisateurs, mais cela ne devrait guère rassurer les victimes. Les attaquants peuvent maintenant cibler ces victimes avec des courriels de phishing et des escroqueries d'usurpation d'identité et utiliser à nouveau ces mots de passe sur d'autres sites.
    PayPal demande instamment aux utilisateurs qui ont reçu une notification indiquant que leur compte a été violé de modifier les mots de passe de leurs autres comptes en ligne et d'activer la fonction 2FA sur PayPal dans le menu des paramètres du compte.

    Source : Paypal

    Et vous ?

    Que pensez-vous des informations fournies dans ce rapport ?
    Pensez-vous que l'utilisation de l'authentification multi-facteur permet de mieux sécuriser les comptes Paypal ?

    Voir aussi :

    PayPal lance les Passkeys, conçus pour remplacer les mots de passe
    L'authentification multi-facteurs en vaut-elle la peine ? plusieurs utilisateurs déclarent que l'AMF a empêché la compromission de leur compte
    Contribuez au club : corrections, suggestions, critiques, ... Contactez le service news et Rédigez des actualités

  2. #2
    Membre extrêmement actif
    Homme Profil pro
    Graphic Programmer
    Inscrit en
    mars 2006
    Messages
    1 410
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Graphic Programmer
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : mars 2006
    Messages : 1 410
    Points : 3 420
    Points
    3 420
    Par défaut
    je ne dirais pas que 35000 comptes represente une attaque massive.... on m'aurait dit 35 millions, la ok, mais 35000 !??

  3. #3
    Membre éclairé
    Homme Profil pro
    Administrateur systèmes et réseaux
    Inscrit en
    août 2018
    Messages
    301
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 54
    Localisation : Autre

    Informations professionnelles :
    Activité : Administrateur systèmes et réseaux

    Informations forums :
    Inscription : août 2018
    Messages : 301
    Points : 856
    Points
    856
    Par défaut
    "PayPal a été victime d'une attaque massive"

    Aucun serveur n'a été compromis chez Paypal !!!

    Les comptes compromis l'on été très certainement en raison de l'attaque qui avait menée sur le gestionnaire en ligne de mots de passe LastPass il y a peu.

    A part ça faut être un peu stupide pour stocker ses mots de passe sensibles sur le Cloud et pour ne pas choisir des mots de passe différents pour chacun de ses comptes...

    "Le service de paiement explique aujourd'hui que les accès aux comptes se seraient déroulés entre le 6 et le 8 décembre 2022. Les malfrats auraient tout simplement testé différentes associations entre noms d'utilisateur et mots de passe, récupérés depuis une fuite de données précédentes."

Discussions similaires

  1. Est-ce que je suis victime d'une attaque ou d'un robot ?
    Par lolaalol dans le forum Statistiques
    Réponses: 2
    Dernier message: 23/08/2018, 17h57
  2. Réponses: 16
    Dernier message: 31/03/2011, 14h36
  3. Réponses: 17
    Dernier message: 12/05/2010, 23h50
  4. Réponses: 0
    Dernier message: 21/02/2010, 12h47
  5. Réponses: 6
    Dernier message: 01/11/2009, 10h03

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo