PayPal aurait été victime d’une vaste fuite de données. Un cybercriminel caché sous le pseudonyme « Chucky_B » prétend avoir dérobé 15,8 millions de mots de passe liés à des comptes PayPal, rapporte le compte Hackmanac sur X. Sur une plateforme dédiée aux pirates, le hacker indique que les informations compromises sont actuellement en vente au plus offrant. Le vendeur propose les données au prix de 750 dollars.
🚨Cyber Alert – PayPal‼️
Do you have a PayPal account? It might be time to change your password.
A threat actor using the alias “Chucky_BF” claims to be selling 15.8 million email and plaintext password pairs linked to PayPal accounts worldwide.
The authenticity of this claim… pic.twitter.com/oRz9J1BESC
— Hackmanac (@H4ckmanac) August 16, 2025
Le cybercriminel affirme que les données proviennent d’une « fuite massive PayPal » survenue en mai 2025. La base de données contiendrait à la fois des mots de passe et des adresses mail de connexion à des comptes PayPal. On y trouverait notamment des adresses liées à des domaines comme @gmail.com, @yahoo.com, ou encore @hotmail.com.
Pour le moment, PayPal n’a pas confirmé ou infirmé l’existence d’une fuite de données. Contacté par nos soins, le service de paiement américain n’a pas encore répondu à nos demandes. Nous mettrons à jour cet article ultérieurement dès que nous obtiendrons une réponse.
À lire aussi : Fuite de données chez Google – 2,55 millions d’informations ont été piratées
Le mystère de l’origine des données volées
Troy Hunt, le chercheur en sécurité à l’origine de Have I Been Pwned, le site open source qui permet à tous les internautes de vérifier si leurs données personnelles sont en sécurité, a évoqué l’affaire sur son compte X. Il assure que les « mots de passe ne proviennent certainement pas de PayPal ». Même son de cloche du côté de Zataz, le blog spécialisé dans la sécurité. Il juge « hautement improbable une extraction directe des serveurs de l’entreprise, connue pour ne pas stocker les mots de passe en clair ».
Selon Hunt, le service de paiement n’a pas été piraté. L’expert indique que les données pourraient avoir été récupérées par des infostealers, des malwares spécialisés dans le vol de données. De plus en plus répandu dans le monde, ils sont impliqués dans une grande partie des cyberattaques récentes. Selon Kaspersky, près de dix millions d’appareils sont infectés par des virus de cet acabit tous les ans. C’est le « scénario le plus plausible » aux yeux de Zataz.
Given passwords definitely didn’t come from PayPal in plain text, they’ve either been obtained another way (info stealer, credential stuffing) or there’s another explanation for this claim 🤔 https://t.co/xmDyRaFbhL
— Troy Hunt (@troyhunt) August 16, 2025
Pour Troy Hunt, il est possible que le pirate ait simplement recensé des mots de passe compromis liés à d’autres services en ligne. Enfin, le chercheur estime que les données ont pu être dérobées par des sites e-commerce compromis. Certains groupes criminels sont en effet connus pour injecter du code malveillant dans les sites pour intercepter en temps réel les infos saisies par les clients (emails, mots de passe, cartes bancaires) au moment du paiement.
Après enquête, Zataz indique que « Chucky_B » est un copycat, à savoir un individu qui usurpe l’identité d’un pirate qui a disparu de la circulation. Le hacker cherche surement à surfer sur la notoriété du cybercriminel, ce qui laisse planer le doute sur ses assertions.
Changez vos mots de passe sur PayPal
Si la fuite se confirme, de nombreux utilisateurs de PayPal sont potentiellement en danger. Avec les identifiants et les mots de passe, un pirate est susceptible de se connecter à leur compte et de réaliser des paiements et des transferts d’argent à leur insu. Pour arriver à ses fins, le hacker doit néanmoins passer les mécanismes anti-fraude de PayPal, avec des logiciels pirates dédiés.
Par ailleurs, les cybercriminels pourraient se servir des données compromises pour tenter de se connecter à d’autres plateformes. Les pirates sont bien conscients que de nombreux utilisateurs recyclent leurs mots de passe pour sécuriser de nombreux comptes en ligne. C’est pourquoi ils tentent toujours leur chance sur plusieurs sites avec les mêmes données. Par mesure de précaution, on vous recommande de changer votre mot de passe PayPal sans attendre. Dans la foulée, prenez le temps d’activer la double authentification sur votre compte. Cette précaution évitera la plupart des tentatives d’intrusion.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
