PayPal Ukarany Grzywną 2M USD za Naruszenie Cyberbezpieczeństwa Odsłaniające Dane Klientów

PayPal został ukarany grzywną w wysokości 2 milionów dolarów przez Departament Usług Finansowych (DFS) stanu Nowy Jork za braki w zabezpieczeniach cybernetycznych, które doprowadziły do ujawnienia numerów ubezpieczenia społecznego klientów pod koniec 2022 roku, jak pierwotnie poinformował Reuters.

Naruszenie, które trwało około siedmiu tygodni, doprowadziło do tego, że wrażliwe dane, takie jak imiona, daty urodzenia i numery ubezpieczenia społecznego, stały się podatne na ataki cyberprzestępców, jak ogłosiło DFS w czwartek.

Adrienne Harris, nadzorca usług finansowych w Nowym Jorku, ujawniła, że PayPal nie posiadał wykwalifikowanego personelu do nadzoru nad kluczowymi operacjami z zakresu cyberbezpieczeństwa i nie zapewnił odpowiedniego szkolenia, aby zminimalizować ryzyko. Te niedociągnięcia ułatwiły atakującym wykorzystanie systemu, zauważył Reuters.

Problem wyszedł na jaw 6 grudnia 2022 r., gdy analityk bezpieczeństwa odkrył wiadomość online odnoszącą się do luki bezpieczeństwa, oznaczonej jako „PP EXPLOIT TO GET SSN”. Następnego dnia zespół ds. cyberbezpieczeństwa PayPal zauważył wzrost nieautoryzowanych prób dostępu do swojej platformy, poinformował Reuters.

Śledztwo wykazało, że napastnicy wykorzystywali techniki „credential stuffing”, aby przeglądać federalne formularze podatkowe należące do dziesiątek tysięcy klientów, jak podaje Reuters.

Do naruszenia bezpieczeństwa doszło po tym, jak PayPal zmienił konfiguracje przepływu danych, aby rozszerzyć dostęp do tych formularzy, nieumyślnie ujawniając wrażliwe informacje. Harris krytykowała również PayPal za niezastosowanie podstawowych środków bezpieczeństwa, takich jak wieloskładnikowe uwierzytelnianie i CAPTCHA, aby odstraszyć nieautoryzowany dostęp, jak donosi Reuters.

W oświadczeniu, Reuters informuje, że PayPal potwierdził prowadzenie śledztwa i ponownie podkreślił swoje zaangażowanie w ochronę informacji użytkowników. „Ochrona prywatnych danych konsumentów i utrzymanie bezpiecznej platformy to nasz priorytet” – powiedziała firma.

Od czasu naruszenia, PayPal wprowadził wielopoziomowe uwierzytelnianie dla wszystkich kont klientów z USA, wymusił resetowanie haseł dla dotkniętych użytkowników oraz dodał CAPTCHA w celu zwiększenia bezpieczeństwa – zauważa Reuters.

Grzywna w wysokości 2 milionów dolarów jest związana z naruszeniami nowojorskiego regulaminu dotyczącego cyberbezpieczeństwa, który został ustanowiony w 2017 roku, aby zwiększyć ochronę usług finansowych – donosi Reuters.