PayPal: Πρόστιμο από την πολιτεία της Νέας Υόρκης για αποτυχίες στον κυβερνοχώρο

Πρόστιμο 2 εκατομμυρίων δολαρίων καλείται να πληρώσει η PayPal στη Νέα Υόρκη για αστοχίες στον κυβερνοχώρο που οδήγησαν στην έκθεση των αριθμών κοινωνικής ασφάλισης των πελατών της στα τέλη του 2022, όπως ανακοίνωσε το Τμήμα Οικονομικών Υπηρεσιών της πολιτείας της Νέας Υόρκης.

PayPal: Πώς θα εναρμονιστεί με τους ευρωπαϊκούς κανόνες

Η Adrienne Harris, επικεφαλής χρηματοοικονομικών υπηρεσιών της Νέας Υόρκης, δήλωσε ότι μια έρευνα από το γραφείο της διαπίστωσε ότι η PayPal απέτυχε να χρησιμοποιήσει εξειδικευμένο προσωπικό για να διαχειριστεί βασικές λειτουργίες κυβερνοασφάλειας ή να παράσχει επαρκή εκπαίδευση για την αντιμετώπιση των κινδύνων στον κυβερνοχώρο.

Oνόματα, ημερομηνίες γέννησης και αριθμοί κοινωνικής ασφάλισης που ανήκαν σε πελάτες της PayPal κατέστησαν εύκολα προσβάσιμα στους εγκληματίες του κυβερνοχώρου για περίπου επτά εβδομάδες

Αυτό άφησε ονόματα, ημερομηνίες γέννησης και αριθμούς κοινωνικής ασφάλισης που ανήκουν σε πελάτες της εταιρείας ψηφιακών πληρωμών, εύκολα προσβάσιμα στους εγκληματίες του κυβερνοχώρου για περίπου επτά εβδομάδες.

Η PayPal συνεργάστηκε με την έρευνα δηλώνοντας ότι «η προστασία των προσωπικών πληροφοριών των καταναλωτών και η διατήρηση μιας ασφαλούς πλατφόρμας αποτελεί κορυφαία προτεραιότητα για εμάς και λαμβάνουμε σοβαρά υπόψη τις ρυθμιστικές μας ευθύνες».

Πώς η PayPal εντόπισε το πρόβλημα

Σύμφωνα με μια εντολή συναίνεσης, η PayPal εντόπισε το πρόβλημα αφού ένας αναλυτής ασφαλείας στις 6 Δεκεμβρίου 2022 διάβασε ένα διαδικτυακό μήνυμα που έλεγε “PP EXPLOIT TO GET SSN”.

Την επόμενη μέρα, η ομάδα κυβερνοασφάλειας της PayPal είδε μια έξαρση στις προσπάθειες πρόσβασης στην διαδικτυακή πλατφόρμα της και διαπίστωσε ότι οι εγκληματίες του κυβερνοχώρου χρησιμοποιούσαν «σύνδεση διαπιστευτηρίων» για να αποκτήσουν πρόσβαση σε ομοσπονδιακά φορολογικά έντυπα για δεκάδες χιλιάδες πελάτες.

Τα δεδομένα αποκαλύφθηκαν αφότου η PayPal έκανε αλλαγές στις υπάρχουσες ροές δεδομένων, ώστε να μπορέσει να καταστήσει τις φόρμες διαθέσιμες σε περισσότερους πελάτες.

H επικεφαλής χρηματοοικονομικών υπηρεσιών της Νέας Υόρκης κατηγόρησε επίσης την PayPal επειδή δεν απαιτούσε από τους πελάτες να χρησιμοποιούν έλεγχο ταυτότητας πολλαπλών παραγόντων ή στοιχεία ελέγχου όπως το CAPTCHA για την αποτροπή μη εξουσιοδοτημένης πρόσβασης.

Το πρόστιμο ήταν για παραβίαση του κανονισμού για την κυβερνοασφάλεια του τμήματος χρηματοοικονομικών υπηρεσιών, που εγκρίθηκε το 2017.

Η PayPal απαιτεί πλέον έλεγχο ταυτότητας πολλαπλών παραγόντων σε όλους τους λογαριασμούς πελατών των ΗΠΑ, αναγκαστική επαναφορά κωδικού πρόσβασης σε λογαριασμούς που επηρεάζονται και έχει εφαρμόσει το CAPTCHA.