Credential Leak

Nombres Alternativos / Aliases

• PayPal Credential Leak Campaign
• PayPal Working Capital Exposure
• PayPal PII Leak Incident
• PayPal 2025 Data Breach

Fecha de Detección / Actividad

• Fecha de Detección: 12 de diciembre de 2025
• Período de Actividad Observado: 1 de julio al 13 de diciembre de 2025 (aproximadamente 6 meses)
• Fuente de Divulgación: Notificaciones oficiales de PayPal a clientes afectados (febrero 2026)
• Estado: Concluido / Remediado

Actor de Amenaza (Atribución)

• Atribución: No atribuida formalmente
• Tipo de Actor:
  • Terceros no autorizados
  • Actores oportunistas que aprovecharon datos expuestos
• Motivación:
  • Acceso no autorizado a información de identificación personal (PII)
  • Fraude financiero (transacciones no autorizadas)
  • Potencial robo de identidad
• Nivel de Sofisticación: Bajo (explotación de un error de codificación, no una vulnerabilidad técnica compleja)
• Región de Operación: No específica (impacto en aproximadamente 100 clientes de PayPal)

Resumen Ejecutivo

Esta campaña documenta una filtración de datos significativa que afectó a PayPal durante aproximadamente seis meses en 2025, exponiendo información confidencial de los clientes debido a un error de software interno en la aplicación de préstamos PayPal Working Capital (PPWC). Entre el 1 de julio y el 13 de diciembre de 2025, un fallo de codificación permitió que información de identificación personal (PII) de aproximadamente 100 clientes, incluyendo nombres, direcciones de correo electrónico, números de teléfono, direcciones comerciales, números de Seguro Social y fechas de nacimiento, quedara visible para terceros no autorizados. PayPal detectó el error el 12 de diciembre de 2025 y revirtió el cambio de código al día siguiente. Como consecuencia directa de la exposición, un pequeño número de clientes experimentó transacciones no autorizadas en sus cuentas, las cuales fueron reembolsadas por la empresa. Este incidente no involucró una intrusión en los sistemas de PayPal, sino un error interno de configuración de software, destacando los riesgos de seguridad asociados a fallos en el desarrollo de aplicaciones.

Vectores de Ataque

• Error de software (fallo de codificación) en la aplicación PayPal Working Capital
• Exposición pasiva de datos debido a configuración insegura
• Acceso no autorizado a información de identificación personal (PII) expuesta
• Transacciones fraudulentas en cuentas de usuarios afectados

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción
Acceso Inicial (TA0001)	Exploit Public-Facing Application (T1190)	Exposición de datos debido a un error de codificación en la aplicación pública PayPal Working Capital.
Colección (TA0009)	Data from Information Repositories (T1213)	Acceso no autorizado y visualización de información de identificación personal (PII) de los clientes desde la aplicación comprometida.
Exfiltración (TA0010)	Exfiltration Over Alternative Protocol (T1048)	Potencial adquisición y transferencia de datos sensibles expuestos por parte de actores no autorizados.
Impacto (TA0040)	Data Manipulation: Transmitted Data Manipulation (T1565.002)	Realización de transacciones no autorizadas en cuentas de usuarios como resultado directo del acceso a los datos expuestos.

Flujo de Ataque (Kill Chain)

1. Configuración Insegura (Fallo Interno): PayPal introduce y despliega un error de codificación en la aplicación de préstamos PayPal Working Capital (PPWC) durante una actualización de software (antes del 1 de julio de 2025).
2. Exposición de Datos (Permanencia): El error provoca que, de manera pasiva y continuada, la información de identificación personal (PII) de aproximadamente 100 clientes quede visible o accesible a terceros no autorizados a través de la aplicación.
3. Detección: El 12 de diciembre de 2025, los equipos internos de PayPal identifican el error de software y la consiguiente exposición de datos.
4. Contención y Remediación: Al día siguiente (13 de diciembre de 2025), PayPal revierte el cambio de código, eliminando la exposición de datos. Posteriormente, restablece las contraseñas de las cuentas afectadas.
5. Acciones en Objetivo (Post-Exposición): Durante el período de exposición, actores no autorizados acceden a los datos y, como resultado directo, realizan transacciones no autorizadas en las cuentas de un pequeño número de clientes.
6. Compensación: PayPal identifica las transacciones fraudulentas, emite reembolsos a los clientes afectados y ofrece dos años de servicios gratuitos de monitoreo de crédito y restauración de identidad a través de Equifax.

Infraestructura Utilizada

Tipo	Características	Propósito
Aplicación PayPal Working Capital (PPWC)	Aplicación web para préstamos a pequeñas empresas	Vector de exposición de datos (fallo de codificación)
Sistemas internos de PayPal	Infraestructura de autenticación y cuentas de usuario	Almacenamiento de PII y gestión de transacciones

Objetivos y Sectores Atacados

• Objetivo Principal: Clientes de PayPal que solicitaron préstamos a través de la aplicación PayPal Working Capital
• Sectores Impactados:
  • Financiero / Fintech
  • Pequeñas empresas y comercios
• Tipo de Organización: Empresas y usuarios individuales que utilizan servicios financieros de PayPal

Impacto y Riesgo

• Nivel de Riesgo: Medio (para los aproximadamente 100 clientes afectados)
• Impacto Potencial:
  • Exposición de números de Seguro Social y fechas de nacimiento (alto riesgo de robo de identidad)
  • Transacciones financieras no autorizadas
  • Daño reputacional para PayPal
  • Posibles consecuencias regulatorias (antecedente de multa de $2,000,000 por incidente de 2022)
• Carácter de la Amenaza:
  • No dependió de un ataque externo sofisticado, sino de un error interno de desarrollo
  • Período de exposición prolongado (6 meses) antes de ser detectado
  • Difícil de detectar sin auditorías de código y pruebas de seguridad

Recomendaciones de Mitigación

• Implementar pruebas de seguridad de aplicaciones estáticas (SAST) y dinámicas (DAST) en el ciclo de vida de desarrollo
• Establecer un programa de desarrollo seguro (SSDLC) con revisiones de código obligatorias
• Realizar auditorías de código y pruebas de penetración periódicas por terceros
• Monitorear continuamente el acceso a datos sensibles (PII) en aplicaciones y bases de datos
• Implementar el principio de mínimo privilegio para aplicaciones y procesos que acceden a datos de clientes

Herramientas de Detección

• Herramientas SAST/DAST integradas en CI/CD
• Sistemas de monitoreo de acceso a datos sensibles
• Auditorías de código manuales y automatizadas
• Plataformas de gestión de eventos e información de seguridad (SIEM) con reglas para acceso anómalo a PII
• Google Security Command Center (para entornos cloud)

Referencias y Fuentes

• Notificaciones oficiales de PayPal a clientes afectados (febrero 2026)
• BleepingComputer: PayPal discloses data breach that exposed user info for 6 months (febrero 2026)
• Pierluigi Paganini: PayPal revela una fuga de datos relacionada con un fallo en la aplicación de préstamos (febrero 2026)
• MITRE ATT&CK Framework

Historial de Revisiones

Fecha	Versión	Autor	Cambios
2026-02-23	1.0	Fernando Vargas Hincapié	Creación inicial de campaña (Credential Leak)

Indicadores de Compromiso (IOC)

• Acceso no autorizado a datos de clientes en la aplicación PPWC
• Transacciones no reportadas por el titular de la cuenta
• Inicios de sesión desde ubicaciones o dispositivos no reconocidos
• Cambios en la configuración de la cuenta no realizados por el usuario
• Notificaciones de PayPal sobre actividad sospechosa o restablecimiento de contraseña

Etiquetas / Categorías

paypal fintech data-breach pii ssn-exposure misconfiguration software-error credential-leak financial-fraud supply-chain cwe-306 cwe-522