پی‌پال ۲ میلیون دلار جریمه برای نقض امنیت داده‌ها در سال ۲۰۲۲ پرداخت می‌کند

ایالت نیویورک با پی‌پال بر سر نقض مقررات امنیت سایبری که منجر به نشت اطلاعات در سال ۲۰۲۲ شد، توافق ۲ میلیون دلاری امضا کرد. بر اساس اعلام اداره خدمات مالی (DFS) نیویورک، مهاجمان سایبری از خلاهای امنیتی سیستم‌های پی‌پال برای انجام حملات پر کردن اعتبارنامه (credential stuffing) استفاده کردند و به اطلاعات حساس مشتریان دسترسی یافتند. در این حمله که بین ۶ تا ۸ دسامبر ۲۰۲۲ رخ داد، ۳۵ هزار حساب کاربری در معرض خطر قرار گرفت و اطلاعاتی شامل نام کامل، تاریخ تولد، آدرس پستی، شماره تأمین اجتماعی و شماره شناسایی مالیاتی فردی فاش شد.

علت اصلی این نشت اطلاعات، خطا در نحوه توزیع فرم‌های مالیاتی ۱۰۹۹-K در پلتفرم پی‌پال بود. طبق گزارش DFS، تیم‌های مسئول پیاده‌سازی تغییرات در جریان داده‌ها آموزش کافی در زمینه سیستم‌ها و فرآیندهای توسعه اپلیکیشن پی‌پال نداشتند و از رویه‌های صحیح پیروی نکردند. عدم وجود احراز هویت چندعاملی (MFA) اجباری، کنترل‌های دسترسی ضعیف و نبود محدودیت‌های نرخ ورود خودکار، زمینه موفقیت این حملات را فراهم کرد. علی‌رغم اقدامات اصلاحی پی‌پال پس از کشف نشت، شامل پنهان‌سازی داده‌های حساس و اجباری کردن MFA، این اقدامات دیر انجام شد و شرکت باید جریمه ۲ میلیون دلاری را ظرف ۱۰ روز پرداخت کند.