PayPal condamné à une amende par l'État de New York pour des manquements en matière de cybersécurité

information fournie par Reuters •23/01/2025 à 16:33

((Traduction automatisée par Reuters, veuillez consulter la clause de non-responsabilité https://bit.ly/rtrsauto)) (Accusations, détails de l'accord, signature) par Jonathan Stempel

PayPal PYPL.O va payer une amende civile de 2 millions de dollars pour des défaillances de cybersécurité qui ont conduit à l'exposition des numéros de sécurité sociale des clients à la fin de 2022, a déclaré jeudi le Département des services financiers de l'État de New York.

Adrienne Harris, la surintendante des services financiers de New York, a déclaré qu'une enquête menée par son bureau a révélé que PayPal n'a pas utilisé de personnel qualifié pour gérer les fonctions clés de cybersécurité ou n'a pas fourni de formation adéquate pour faire face aux risques de cybersécurité.

Selon elle, les noms, dates de naissance et numéros de sécurité sociale des clients de la société de paiement numérique basée à San Jose, en Californie, ont ainsi été facilement accessibles aux cybercriminels pendant environ sept semaines.

PayPal a coopéré à l'enquête. Elle n'a pas répondu immédiatement aux demandes de commentaires.

Selon l'ordonnance de consentement, PayPal a découvert le problème après qu'un analyste de la sécurité a lu, le 6 décembre 2022, un message en ligne indiquant "PP EXPLOIT TO GET SSN" (PP EXPLOIT POUR OBTENIR LE SSN)

Le lendemain, l'équipe de cybersécurité de PayPal a constaté un pic dans les tentatives d'accès à sa plateforme en ligne et a déterminé que les cybercriminels utilisaient le "credential stuffing" pour visualiser les formulaires fiscaux fédéraux de dizaines de milliers de clients.

Les données ont été exposées après que PayPal a modifié les flux de données existants afin de pouvoir mettre les formulaires à la disposition d'un plus grand nombre de clients.

M. Harris a également reproché à PayPal de ne pas avoir exigé de ses clients qu'ils utilisent l'authentification multifactorielle ou des contrôles tels que les CAPTCHA pour empêcher tout accès non autorisé.

L'amende a été infligée pour avoir enfreint le règlement sur la cybersécurité du département des services financiers, adopté en 2017.

PayPal a amélioré sa sécurité, notamment en mettant en place des CAPTCHA, indique l'ordonnance de consentement.