Ciberseguridad

PayPal, uno de los gigantes del comercio electrónico y servicios financieros digitales, ha acordado pagar 2 millones de dólares como parte de un acuerdo con el Departamento de Servicios Financieros (DFS) de Nueva York tras una brecha de datos ocurrida en diciembre de 2022. El incidente puso en evidencia fallos significativos en las medidas de ciberseguridad de la plataforma, permitiendo el acceso no autorizado a más de 35.000 cuentas de usuarios.

La resolución llega después de una investigación que expuso vulnerabilidades en los sistemas de PayPal, incluyendo errores en la implementación de flujos de datos relacionados con formularios fiscales, la falta de autenticación multifactor (MFA) obligatoria y controles de acceso débiles que facilitaron ataques de fuerza bruta.

¿Qué ocurrió durante la brecha de 2022?

Entre el 6 y el 8 de diciembre de 2022, los ciberdelincuentes aprovecharon un ataque de “credential stuffing” para acceder a cuentas de usuarios de PayPal. Este tipo de ataque utiliza credenciales reutilizadas o filtradas de otras plataformas para ingresar a cuentas que comparten contraseñas similares.

Los datos comprometidos incluían información altamente sensible como nombres completos, fechas de nacimiento, direcciones postales, números de la Seguridad Social e incluso identificaciones fiscales individuales (ITIN).

Según el DFS, un punto clave de la brecha fue un error relacionado con los formularios fiscales 1099-K. PayPal realizó cambios en sus flujos de datos para facilitar el acceso a estos formularios a más usuarios, pero el equipo encargado no estaba debidamente capacitado en los sistemas y procesos de desarrollo de la empresa. Esto permitió que los cibercriminales accedieran a datos confidenciales de los usuarios afectados.

Vulnerabilidades críticas en las medidas de seguridad

El informe del DFS destaca también varias deficiencias en las medidas de ciberseguridad de PayPal que facilitaron el ataque. Entre estas deficiencias está:

1. Ausencia de autenticación multifactor (MFA): PayPal no había implementado MFA obligatoria para proteger las cuentas de sus clientes, lo que dejó a los usuarios vulnerables frente a ataques de credenciales.
2. Falta de controles de acceso: No existían medidas como CAPTCHA o limitación de intentos de inicio de sesión, lo que permitió a los atacantes realizar múltiples intentos automatizados sin restricciones.
3. Deficiencias en la formación del personal: Los equipos que realizaron los cambios en los flujos de datos no siguieron los procedimientos adecuados debido a una capacitación insuficiente.

Detalles del acuerdo y su impacto

Como parte del acuerdo, PayPal deberá pagar una multa de 2 millones de dólares en un plazo de 10 días. Además, se comprometió a reforzar sus medidas de seguridad para evitar futuras violaciones. El DFS no tomará más acciones legales a menos que se detecten nuevas infracciones.

Este caso subraya la importancia de cumplir con las regulaciones de ciberseguridad y actuar proactivamente para proteger los datos de los usuarios. Además, resalta el creciente desafío que enfrentan las empresas digitales frente a ataques cibernéticos cada vez más sofisticados.

Estos fallos constituyen violaciones directas de la Regulación de Ciberseguridad del Estado de Nueva York (23 NYCRR § 500), en particular en las secciones relacionadas con políticas de ciberseguridad, formación del personal y controles de autenticación.

Medidas correctivas implementadas por PayPal

Tras descubrir la brecha, PayPal tomó medidas para reforzar todos sus sistemas en las áreas de ciberseguridad. Entre las medidas correctivas que ha llevado a cabo destacan las siguientes:

• Enmascaramiento de datos sensibles: Los formularios fiscales ahora ocultan información crítica de los usuarios.
• Implementación de CAPTCHA y limitación de intentos: Estas barreras dificultan los ataques automatizados.
• Adopción obligatoria de MFA: Todos los usuarios en Estados Unidos deben activar esta medida de protección de multifactor.

Sin embargo, el DFS considera que estas acciones llegaron demasiado tarde, ya que el daño ya estaba hecho y los datos de miles de usuarios habían sido expuestos.