Le preoccupazioni per un potenziale hack dei dati di PayPal stanno aumentando dopo che il 16 agosto è apparso un post su un mercato del dark web, che offre le credenziali di accesso di 15,8 milioni di utenti PayPal in vendita. L’attore della minaccia, chiamato Chucky-BF, ha pubblicato quello che ha descritto come “Global PayPal Credential Dump 2025”. I dati includerebbero gli indirizzi e-mail di accesso e le password in chiaro di quasi 16 milioni di utenti PayPal, ha dichiarato l’hacker.

Il post sul dark web pubblicizza quasi 16 milioni di credenziali PayPal in vendita, facendo credere che PayPal sia stato violato nel 2025. Immagine: Cybernews.

PayPal ha negato la violazione dei dati e il suo rappresentante ha dichiarato a Cybernews che il post riguarda un incidente avvenuto nel 2022. Sebbene non sia stato confermato se PayPal sia stato violato, le affermazioni non possono essere verificate in modo indipendente a causa della dimensione troppo piccola del campione di dati. Gli esperti hanno anche affermato di non credere che PayPal abbia subito una violazione dei dati, ma suggeriscono che le informazioni potrebbero essere state ottenute altrove, ad esempio attraverso un malware infostealer. Se fosse stato utilizzato un malware infostealer, le credenziali sarebbero state estratte direttamente dai dispositivi degli utenti, e questo spiegherebbe perché la struttura del set di dati corrisponde ai log noti di infostealer. Inoltre, i dati vengono venduti a un prezzo basso, il che suggerisce che le credenziali non provengono da una nuova fuga di notizie.

Tuttavia, non ha molta importanza se questa violazione dei dati sia avvenuta di recente o in passato. Ora i conti bancari online di milioni di utenti PayPal sono a rischio.

Turn ON Privacy in one click.

Get

L’hack di PayPal: Cosa si sa

L’aggressore con il nome di Chucky-BF sostiene che i dati sono stati raccolti nel maggio 2025 e contengono i dati sensibili dei conti PayPal di tutto il mondo. Il fatto che le credenziali di milioni di utenti siano in vendita è preoccupante, ma a renderlo più minaccioso è anche il tipo di dati che si dice siano in vendita.

Questo include gli utenti PayPal:

• Indirizzi e-mail per il login

• Password in chiaro

• URL associati che rimandano ai servizi PayPal

• Varianti

Se il dump di dati in vendita si conferma vero, i conti PayPal saranno a rischio di accesso non autorizzato e attività dannose. Questo non solo interesserà un gran numero di conti PayPal, ma un altro problema è che la violazione potrebbe portare a un’ulteriore compromissione dell’identità digitale di un utente, ad esempio portando al furto di identità, alla frode finanziaria e alla rivendita dei conti degli utenti. Per fare un esempio, se un utente possiede le stesse credenziali di accesso per più account, un attacco di credential stuffing con i dati PayPal acquisiti potrebbe consentire ad attori malintenzionati di accedere ad altri account online.

La minaccia maggiore per gli utenti è rappresentata dall’utilizzo della stessa password per l’account e-mail e per PayPal. Mentre PayPal oggi richiede l’ autenticazione a due fattori (e quindi dovrebbe essere piuttosto sicuro nonostante questo hack), la maggior parte dei provider di e-mail non lo fa. Potendo acquistare un insieme di dati composto da indirizzi e-mail e password di PayPal, i malintenzionati possono ora verificare se le password di PayPal funzionano anche sugli account e-mail citati. In questo modo, possono impossessarsi non solo dell’account di posta elettronica della vittima, ma anche di altri account associati al suo indirizzo di posta elettronica tramite la famosa funzione di reimpostazione della password via e-mail.

Per questo motivo noi di Tuta Mail consigliamo vivamente di utilizzare l’autenticazione a due fattori, meglio se con U2F, che è il metodo più sicuro.

Turn ON Privacy in one click.

Get

La linea di fondo

Per ora non è chiaro se questo possa essere il peggior hack di PayPal della storia. Tuttavia, che l’hack di PayPal sia reale o meno, è necessario reimpostare la password di PayPal con un codice forte di almeno 16 caratteri. È un modo semplice e facile per proteggere i vostri conti online da potenziali minacce e fughe di dati. Per una sicurezza di accesso ancora migliore, vi consigliamo di utilizzare U2F come autenticazione a due fattori per proteggere il vostro accesso a PayPal. In questo modo, non dovrete preoccuparvi di eventuali hackeraggi di PayPal che fanno notizia. Se pensate che il vostro conto PayPal o qualsiasi altro conto online sia stato compromesso, potete verificare se è stato violato o meno con questi suggerimenti.

Misure supplementari per garantire la sicurezza dei vostri conti online:

• Utilizzate un gestore di password per memorizzare e creare facilmente password forti.

• Utilizzate pseudonimi di posta elettronica per proteggere la vostra identità e non comunicare il vostro indirizzo e-mail principale.

• Fate attenzione quando cliccate sui link, soprattutto nelle e-mail che potrebbero essere di phishing.

• Quando si tratta di comunicare online tramite e-mail o messaggi istantanei, assicurarsi che le comunicazioni siano protette con la crittografia Ende-zu-Ende.

Domande frequenti

PayPal è stato violato nel 2025?

PayPal non ha mai dichiarato di aver subito un hack e non ci sono prove che dimostrino che l’infrastruttura interna di PayPal sia stata violata. Nel 2025, gli hacker hanno dichiarato di aver recuperato con successo le credenziali di accesso di circa 16 milioni di utenti PayPal in tutto il mondo. PayPal ha negato che i dati trapelati provengano da una recente violazione. Gli esperti di sicurezza ritengono che queste credenziali di accesso siano state probabilmente sottratte direttamente agli utenti PayPal tramite un malware infostealer.

PayPal è stato violato nel 2024?

Sebbene i conti dei singoli utenti PayPal possano essere stati violati attraverso diversi tipi di metodi di hacking, come gli attacchi di phishing o l’uso di password deboli, come azienda, PayPal non è stata violata nel 2024, secondo le dichiarazioni ufficiali.

PayPal ha subito violazioni di dati?

PayPal non ha mai subito una violazione dei dati diretta ai sistemi interni dell’azienda, ma ha avuto incidenti di sicurezza. Ciò significa che le informazioni acquisite non sono mai state estratte direttamente dall’azienda, ma attraverso altre forme.

Nel 2022, PayPal ha subito una violazione dei dati in cui malintenzionati hanno avuto accesso a circa 35.000 account utente attraverso attacchi di credential stuffing. Questa violazione è stata possibile a causa di una vulnerabilità della sicurezza di PayPal. Di conseguenza, quello del 2022 è il peggior hack di PayPal della storia. A partire dal 2025, il gigante tecnologico della Silicon Valley è stato condannato a pagare una multa civile di 2 milioni di dollari a causa delle carenze di sicurezza informatica che hanno reso possibile l’hack. Questa violazione ha esposto 35.000 dati personali di utenti, tra cui nomi, indirizzi, codici fiscali e numeri di previdenza sociale.