O PayPal concordou em pagar uma multa de US$ 2 milhões devido a falhas de segurança cibernética que resultaram na exposição de números da Previdência Social de funcionários no final de 2022, conforme informou o Departamento de Serviços Financeiros de Nova York.
A superintendente Adrienne Harris revelou que a investigação apontou deficiências no gerenciamento da segurança cibernética da empresa. O PayPal não contava com profissionais qualificados para lidar com essas funções nem oferecia treinamento adequado sobre os riscos digitais. Como consequência, nomes, datas de nascimento e números de segurança social de clientes ficaram acessíveis a cibercriminosos por cerca de sete semanas.

O problema foi detectado em 6 de dezembro de 2022, quando um analista de segurança identificou uma postagem online mencionando uma exploração do sistema do PayPal para obter números da Previdência Social. No dia seguinte, a equipe de segurança cibernética da empresa observou um aumento nas tentativas de acesso não autorizado e concluiu que criminosos estavam realizando ataques de “credential stuffing” para visualizar formulários fiscais federais de dezenas de milhares de clientes. A vulnerabilidade surgiu após uma mudança nos fluxos de dados da plataforma, feita para ampliar o acesso dos usuários aos formulários.

A investigação também apontou que o PayPal falhou ao não exigir autenticação multifator nem implementar controles básicos, como CAPTCHA, para impedir acessos indevidos. A multa foi aplicada por violar os regulamentos de segurança cibernética do estado, vigentes desde 2017.

Em resposta, a empresa reforçou seu compromisso com a proteção de dados e afirmou que já implementou medidas corretivas, incluindo a exigência de autenticação multifator para todas as contas nos EUA, a redefinição forçada de senhas em perfis afetados e a introdução do CAPTCHA.

O artigo "PayPal fined by New York for cybersecurity failures" foi escrito por Jonathan Stempel no site Reuters.

Disponível em: https://www.reuters.com/technology/paypal-fined-by-new-york-cybersecurity-failures-2025-01-23/