PayPal, 16 milioni di username e password in vendita sul darkweb, ma si tratta di vecchi dati

Un nuovo allarme sicurezza scuote gli utenti PayPal, dopo che un hacker si è presentato su un forum del cybercrimine con l’offerta di vendita di 16 milioni di username e password, sostenendo di avere tra le mani un database derivante da un “massive 2025 PayPal breach”. PayPal ha però smentito con decisione, chiarendo che non si tratta di un nuovo attacco informatico, bensì di un riciclo di dati già sottratti nel 2022.

Il venditore, noto come Chucky_BF, afferma che il pacchetto contenga “15,8 milioni di coppie di credenziali in chiaro” corredate da email, password e URL associati agli account PayPal a livello mondiale. L’intero database viene offerto a soli 750 dollari, una cifra sorprendentemente bassa che sembra confermare la versione di PayPal, suggerendo che il volume reale di dati utilizzabili sia molto inferiore a quanto dichiarato.

Secondo HackRead, che per primo ha riportato la notizia, i campioni visionati mostrano account Gmail con password collegate direttamente alla pagina di login PayPal, oltre ad account visibili sia nelle versioni web che mobile del servizio, un segnale che le stesse credenziali possono comparire in più formati. Tuttavia, come spesso accade con i database rubati, si tratta probabilmente di un insieme eterogeneo composto da account reali, credenziali di test e password riutilizzate, che costituiscono il vero rischio per chi adotta la stessa combinazione email-password su più piattaforme.

La confusione è alimentata dal contesto generale: la quantità di dati in circolazione è ormai talmente elevata che distinguere un nuovo attacco da un reimpiego di vecchi archivi è sempre più complesso. Resta però un punto fermo: le credenziali di milioni di utenti, tra cui quelle legate a domini Gmail, Yahoo e Hotmail, sono già finite in vendita e continuano a rappresentare una minaccia concreta.

Anche se PayPal assicura che non ci sia stato un nuovo breach, la vulnerabilità principale resta la cattiva abitudine degli utenti a non cambiare password e a riutilizzarle in diversi account. Gli esperti invitano quindi a intervenire subito: nelle impostazioni di sicurezza di PayPal è possibile aggiornare la password con una combinazione unica e robusta, attivare l’autenticazione a due fattori tramite app dedicata e aggiungere una passkey. Operazioni che richiedono meno di due minuti, ma che possono fare la differenza nel proteggere il proprio denaro e la propria identità digitale.