Segundo os relatos, foram comprometidos 15,8 milhões de logins e palavras-passe do PayPal. Um criminoso afirma ter obtido uma quantidade monstruosa de dados de login do PayPal após uma “fuga maciça”. Os especialistas em cibersegurança duvidam desta informação e suspeitam do uso de infostealers, um malware especializado em roubar dados pessoais.
O PayPal terá sido vítima de uma fuga massiva de dados. Um criminoso que usa o pseudónimo “Chucky_B” afirma ter roubado 15,8 milhões de palavras-passe ligadas a contas PayPal, segundo a conta do Hackmanac no X. Numa plataforma dedicada aos hackers, indica que a informação comprometida está à venda a quem fizer a maior licitação. O vendedor não informa o preço no seu anúncio.
O criminoso alega que os dados provêm de uma “violação massiva do PayPal” ocorrida em maio de 2025. A base de dados contém alegadamente palavras-passe e endereços de e-mail de login de contas PayPal. Supostamente inclui endereços ligados a domínios como @gmail.com, @yahoo.com e @hotmail.com. O PayPal ainda não confirmou nem negou a existência de uma violação de dados.
🚨Cyber Alert – PayPal‼️
Do you have a PayPal account? It might be time to change your password.
A threat actor using the alias “Chucky_BF” claims to be selling 15.8 million email and plaintext password pairs linked to PayPal accounts worldwide.
The authenticity of this claim… pic.twitter.com/oRz9J1BESC
— Hackmanac (@H4ckmanac) August 16, 2025
O mistério da origem dos dados roubados
Troy Hunt, investigador de segurança por detrás do Have I Been Pwned, discutiu o assunto na sua conta X. Garante que as “palavras-passe não vieram certamente do PayPal”. Segundo ele, o serviço de pagamento não foi pirateado. O especialista indica que os dados podem ter sido recuperados por infostealers, malware especializado no roubo de dados.
Hunt acredita que o hacker pode ter simplesmente recolhido palavras-passe comprometidas para outros serviços online. Por fim, o investigador acredita que os dados podem ter sido roubados por sites de comércio eletrónico comprometidos. Alguns grupos criminosos são conhecidos por injetar códigos maliciosos em sites para intercetar informações de clientes (e-mails, palavras-passe, cartões de crédito) em tempo real durante o checkout.
Given passwords definitely didn’t come from PayPal in plain text, they’ve either been obtained another way (info stealer, credential stuffing) or there’s another explanation for this claim 🤔 https://t.co/xmDyRaFbhL
— Troy Hunt (@troyhunt) August 16, 2025
Se a fuga for confirmada, muitos utilizadores do PayPal estarão potencialmente em risco. Com os seus nomes de utilizador e palavras-passe, um hacker poderia aceder às suas contas e fazer pagamentos e transferências de dinheiro sem o seu conhecimento. Para tal, o hacker necessita, no entanto, de contornar os mecanismos antifraude do PayPal, utilizando um software de hacking dedicado.
Além disso, os criminosos podem utilizar os dados comprometidos para tentar aceder a outras plataformas. Os hackers sabem bem que muitos utilizadores reciclam as suas palavras-passe para proteger várias contas online. É por isso que tentam sempre usar estes dados em vários sites com os mesmos dados. Como precaução, recomenda-se que seja alterada a palavra-passe do PayPal imediatamente.