PayPal fined $2 million for security vulnerabilities

PayPal a été pénalisé d'un amendement de 2 millions de dollars par la régulateur financière du New York, le Département des Services Financiers (DFS). Cela est en raison de problèmes de sécurité des systèmes qui ont entraîné une fuite de données en décembre 2022.

Cette violation a mis en danger les informations personnelles de nombreux clients, y compris leurs numéros de sécurité sociale, adresses e-mail et noms. L'enquête DFS a découvert des problèmes majeurs avec les méthodes de cybersécurité de PayPal. La société n'a pas recruté de personnes qualifiées pour des rôles clés en matière de cybersécurité et n'a pas fourni assez d'entraînement pour aider à réduire les risques de cybersécurité. Ces problèmes étaient liés directement à la violation de sécurité.

Il est vrai que c'est généralement la faute de l'entreprise lorsqu'elle est hackée. Cependant, si l'entreprise ne s'assure pas qu'elle est sécurisée, elle met ses utilisateurs en danger. Une faille de sécurité a profité d'une vulnérabilité introduite lors des modifications apportées pour améliorer l'accès aux formulaires 1099-Ks de l'IRS. Les équipes qui ont effectué ces modifications n'avaient pas assez de formation sur les systèmes PayPal et la façon de développer des applications, ce qui a conduit à des erreurs.

En conséquence, des pirates informatiques ont utilisé une méthode appelée ' stuffing des identifiants', où ils essayaient de nombreuses combinaisons d'identifiants et de mots de passe jusqu'à ce qu'ils trouvent une combinaison qui fonctionne pour accéder. Une fois qu'ils avaient les informations d'identification volées, ils pouvaient accéder aux formulaires contenant des informations personnelles clients.

Le DFS a découvert que la sécurité de PayPal n'était pas suffisante, permettant l'attaque d'intrusion par substitution de credentials. L'enquête a également révélé que PayPal n'avait pas de règles écrites pour la gestion des accès, le traitement des identités ou la protection des données clients. De plus, PayPal n'avait pas mis en place des mesures efficaces pour bloquer l'accès non autorisé, comme l'authentification à deux facteurs, CAPTCHA ou les limites sur le nombre d'essais de connexion.

La pénalité de 2 millions de dollars n'est pas vraiment importante pour une telle grande entreprise, mais la sanction plus efficace est que le public voie combien PayPal était en danger. Cela montre à quel point les problèmes de sécurité informatique de l'entreprise étaient graves. PayPal semble avoir corrigé les problèmes trouvés et amélioré ses pratiques de sécurité contre la cybercriminalité. Ces changements sont destinés à empêcher des problèmes similaires de se reproduire.

Sources : DFS via Radar technique