Vermeintliche Paypal-Zugangsdaten: Quelle nicht Paypal

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Berichte machen derzeit die Runde, dass es bei Paypal zu einem massiven Datenabfluss gekommen sei. In einem Untergrundforum verkauft ein Krimineller mit dem Handle "Chucky_BF" angeblich rund 15,8 Millionen Zugangsdaten zu Paypal – einschließlich Klartext-Passwörtern.

Die Daten sollen einen Umfang von 1,1 GByte haben und die Log-in-E-Mail-Adressen, Klartextpasswörter sowie verknüpfte URLs enthalten. Dazu gehören API-Endpunkte und URLs wie /signin und /signup. Ordentlich sortiert scheinen die Daten nicht zu sein, denn "Chucky_BF" räumt ein, dass Varianten davon Paypal-Links mit eingebetteten Zugangsdaten umfassen sowie länderspezifische Domains oder Mobil-Formate. Sie seien jedoch "ein hohes Risiko für Credential Stuffing, Phishing oder Betrugskampagnen", bewirbt der Täter sein Angebot. Das behauptete Datum des Datenlecks war am 6. Mai dieses Jahres.

Datenherkunft Paypal?

Auf X ordnet Troy Hunt, der das Have-I-Been-Pwned-Projekt betreibt, das Datenleck ein. An Paypal selbst als Ursprung glaubt er nicht.

Demnach schätzt er: "Da die Passwörter definitiv nicht als Klartext von Paypal kommen, wurden sie entweder auf einem anderen Weg ergattert (Info-Stealer, Credential Stuffing) oder es gibt eine andere Erklärung für diese Behauptung."

Auch das angekündigte "Durcheinander" der Daten spricht dafür, dass diese nicht von Paypal selbst stammen, sondern eben aus anderen (älteren) Dumps zusammengestellt wurden, die etwa Info-Stealer, also Malware auf Rechnern von Opfern, gesammelt haben. Ein weiterer Hinweis für die eher maue Qualität der Daten ist der Preis, den "Chucky_BF" sich vorstellt. Er möchte 750 US-Dollar dafür haben. Das ist eher wenig für echte, aktuelle Paypal-Zugangsdaten.

Auch wenn die Daten nicht bei Paypal entwendet wurden, sollten Paypal-Nutzer prüfen, ob es unbefugte Zugriffe mit ihren Zugangsdaten gab. Außerdem sollten sie entweder die Mehr-Faktor-Authentifizierung aktivieren oder gleich zu Passkeys wechseln.

In jüngerer Vergangenheit machen öfter derartige Funde von Zugangs-Datenhalden die Runde. Sie entpuppen sich regelmäßig als Wiederveröffentlichung oder Remixe alter Daten aus früheren Leaks. So war auch im Juni die Aufregung um einen Datenfund von 16 Milliarden Zugangsdaten deutlich überzogen.

(dmk)