8月16日、ダークウェブのマーケットプレイスで1,580万人のPayPalユーザーのログイン認証情報を売りに出すという投稿があり、PayPalデータハックの可能性に対する懸念が高まっている。Chucky-BFと名付けられた脅威行為者は、「Global PayPal Credential Dump 2025 」と説明する投稿を行った。ハッカーは、このデータには約1600万人のPayPalユーザーのログインメールアドレスとプレーンテキストのパスワードが含まれていると述べた。
このダークウェブの投稿は、1600万人近いペイパルのクレデンシャルが売りに出されていることを宣伝しており、2025年にペイパルがハッキングされたと人々に思わせている。画像サイバーニュース
ペイパルはデータ漏洩を否定しており、同社の担当者はCybernewsに対し、この投稿は2022年に発生した過去の事件に関するものだと述べている。ペイパルがハッキングされたかどうかは未確認のままだが、データのサンプル数が少なすぎるため、この主張も独自に検証することはできない。専門家はまた、ペイパル自体がデータ侵害に遭ったとは考えていないと述べているが、例えばinfostealerマルウェアを通じて、他の場所で情報が入手された可能性を示唆している。マルウェアが使用されたのであれば、認証情報はユーザーのデバイスから直接抽出されたことになり、データセットの構造が既知のマルウェアのログと一致する理由もこれで説明できる。さらに、データは低価格で販売されており、この認証情報が新たなリークによるものではないことを示唆している。
しかし、このデータ・ハッキングが最近起こったか、過去に起こったかはあまり重要ではない。現在、何百万人ものペイパルユーザーのオンライン銀行口座が危険にさらされているのだ。
ペイパルのハッキング判明していること
Chucky-BFという名の攻撃者は、データは2025年5月に収集され、世界中のペイパル口座の機密データが含まれていると主張している。何百万人ものユーザーの認証情報が売りに出されていると言われていることは気になるが、より脅威的なのは、売りに出されていると言われているデータの種類でもある。
これにはPayPalユーザーも含まれる:
-
ログイン用のメールアドレス
-
プレーンテキストのパスワード
-
PayPalサービスへリンクする関連URL
-
亜種
販売されているデータのダンプが事実であると確認された場合、PayPalアカウントは不正アクセスや悪意のある活動の危険にさらされることになる。これは多数のPayPalアカウントに影響を与えるだけでなく、もう一つの問題は、この侵害がユーザーのデジタル・アイデンティティのさらなる侵害につながる可能性があることで、例えば、個人情報の盗難、金融詐欺、ユーザーのアカウントの転売につながる可能性がある。一例を挙げると、ユーザーが複数のアカウントで同じログイン認証情報を持っている場合、取得したPayPalデータを使ったクレデンシャル・スタッフィング攻撃によって、悪意のある行為者がより多くのオンラインアカウントにアクセスできるようになる可能性がある。
ユーザーにとって最大の脅威は、メールアカウントとPayPalで同じパスワードを使用している場合である。ペイパルは現在、2要素認証を要求している （したがって、今回のハッキングにもかかわらず、むしろ安全であるはずだ）が、ほとんどの電子メール・プロバイダーはそうではない。メールアドレスとPayPalのパスワードからなるデータセットを購入することで、悪意のある攻撃者は、PayPalのパスワードがそのメールアカウントでも使えるかどうかをテストすることができる。こうすることで、被害者の電子メールアカウントだけでなく、電子メール経由の一般的なパスワードリセット機能を使って、その電子メールアドレスに関連付けられている他のアカウントも乗っ取ることができます。
このような理由から、Tuta Mailでは二要素認証の使用を強く推奨している。
結論
今のところ、これが史上最悪のPayPalハッキングになるかどうかは不明である。しかし、PayPalのハッキングが事実であろうとなかろうと、PayPalのパスワードは 最低16文字の 強力なパスコードで リセットすべきである。これは、あなたのオンラインアカウントを潜在的な脅威やデータ漏洩から守るシンプルで簡単な方法です。また、ログインのセキュリティをさらに高めるには、U2Fを2要素認証として使用してPayPalログインを保護することをお勧めします。そうすれば、ニュースを賑わせているPayPalのハッキングの可能性を心配する必要がなくなる。あなたのPayPalアカウントやオンラインアカウントが危険にさらされていると思われる場合は、これらのヒントでハッキングされたかどうかを確認することができます。
オンラインアカウントのセキュリティを確保するための特別な手順:
-
パスワードマネージャーを使用して、強力なパスワードを簡単に保存・作成する。
-
電子メールのエイリアスを使用して身元を保護し、プライマリ電子メールアドレスを渡さない。
-
リンクをクリックする際は、特にフィッシングの可能性があるメールには注意する。
-
電子メールや インスタント・メッセージでオンライン通信を行う場合は、通信がエンドツーエンドの暗号化で保護されていることを確認する。
よくある質問
PayPalは2025年にハッキングされましたか？
PayPalはハッキングに遭ったと報告したことはなく、PayPalの内部インフラがハッキングされたことを示す証拠もありません。2025年、ハッカーは世界中のペイパルユーザー1,600万人分のログイン認証情報の取得に成功したと主張しています。ペイパルは、流出したデータが最近のハッキングによるものであることを否定している。セキュリティ専門家は、これらのログイン認証情報は、情報窃取マルウェアを通じてPayPalユーザーから直接取得された可能性が高いと見ている。
2024年、ペイパルはハッキングされたのか？
個々のPayPalユーザーのアカウントは、フィッシング攻撃や脆弱なパスワードの使用など、さまざまな種類のハッキング手法によってハッキングされた可能性がありますが、公式声明によると、企業としてのPayPalは2024年にハッキングされていません。
ペイパルはデータ漏洩を起こしたことがありますか？
ペイパルは、自社の内部システムを狙った直接的なデータ漏洩に見舞われたことはないが、セキュリティ・インシデントを起こしたことはある。これは、取得された情報が同社から直接抽出されたことはなく、他の形式を通じて抽出されたことを意味する。
2022年、ペイパルはデータ漏洩に見舞われ、悪意のある攻撃者がクレデンシャル・スタッフィング攻撃を通じて約3万5000人のユーザーアカウントにアクセスした。このハッキングは、ペイパルのセキュリティの脆弱性によって可能となった。その結果、2022年はペイパル史上最悪のハッキング事件となった 。2025年、シリコンバレーの巨大ハイテク企業は、このハッキングを可能にしたサイバーセキュリティの失敗により、200万ドルの民事罰金を支払うよう宣告された。このハッキングにより、氏名、住所、納税者番号、社会保障番号など、3万5000人分の個人情報が流出した。
