O PayPal notificou nesta semana dezenas de milhares de clientes nos Estados Unidos que seus logins foram usados com sucesso para acessar suas contas há mais de um mês. O acesso não autorizado ocorreu entre 6 e 8 de dezembro do ano passado, quando a empresa percebeu o que estava acontecendo e diz ter “bloqueado o acesso” dos invasores.

“Durante esse período, pessoas não autorizados puderam visualizar e potencialmente obter algumas informações pessoais de certos usuários do PayPal”, disse a empresa em uma carta de notificação de violação enviada ao escritório do procurador-geral do Maine, estado situado no extremo nordeste dos EUA.

Mesmo que os invasores não tenham feito nenhuma transação não autorizada após acessar as 34.942 contas em questão, eles podem ter obtido algumas informações pessoais altamente monetizáveis. Já que o PayPal admitiu que as informações pessoais expostas poderiam incluir nomes de clientes, endereços, números de CPF, números de identificação fiscal individual e datas de nascimento.

Segundo especialistas em cibersegurança, o ataque carrega todas as características de uma campanha de preenchimento de credenciais, em que logins violados e roubados de outros sites ou comprados na dark web são alimentados em software automatizado e testados em vários outros sites para ver se há uma correspondência.