Ozbiljan propust popularne aplikacije: Zloupotrebljeni osetljivi podaci korisnika, curenje trajalo 5 meseci

Greška u kodiranju jedne aplikacije Pejpala (PayPal) ostavila je podatke nekih korisnika izloženim i čak dovela do nekoliko prevarnih transakcija, potvrdila je kompanija za elektronsku trgovinu.

Pejpal je nedavno obavestio deo svojih korisnika da je otkrio bag u svojoj aplikaciji za kredite PayPal Working Capital (PPWC), koja funkcioniše kao proizvod za poslovno finansiranje, pružajući kvalifikovanim preduzećima novčani avans na osnovu njihove istorije prodaje preko Pejpala.

Otkriven 12. decembra 2025. godine, bag je otkrivao osetljive podatke više od pet meseci, između 1. jula 2025. i 13. decembra 2025. godine, uključujući korisnička imena, imejl adrese, brojeve telefona, poslovne adrese, brojeve socijalnog osiguranja (SSN) i datume rođenja.

Neovlašćene transakcije

Ovo je veoma opasna kombinacija podataka koja se lako može iskoristiti u fišing imejlu, navodeći korisnike da otkriju svoje pristupne podatke za prijavu i time omoguće pristup sredstvima.

Da stvar bude još gora, čini se da je sam bag takođe omogućio zlonamernim akterima pristup novcu drugih ljudi. U mejlu upozorenja Pejpal je naveo da je "nekolicina korisnika imala neovlašćene transakcije na svom nalogu".

Ne znamo koliko tačno znači "nekolicina", ali Pejpal je naglasio da je neovlašćeni pristup opozvan, a žrtvama nadoknađena šteta. Takođe je saopšteno da su svim pogođenim korisnicima resetovane lozinke i da je izmena koda odgovorna za upad povučena.

"Nismo odložili ovo obaveštenje zbog bilo kakve istrage organa za sprovođenje zakona", dodao je Pejpal.

Kompanija takođe razume osetljivost ličnih podataka koji mogu identifikovati osobu (PII), zbog čega nudi dve godine besplatnog nadzora kreditnog statusa i usluga obnove identiteta putem Equifaxa. Ovo je, manje-više, standardna praksa u incidentima poput ovog.

Međutim, naglašeno je da njihovi sistemi nisu bili kompromitovani.

"Kada postoji potencijalna izloženost informacija o korisnicima, Pejpal je dužan da obavesti pogođene korisnike. U ovom slučaju, Pejpalovi sistemi nisu bili kompromitovani", rekao je portparol kompanije za TechRadar Pro.

"U skladu s tim, kontaktirali smo približno 100 korisnika koji su potencijalno bili pogođeni kako bismo ih upozorili na ovu situaciju."

Na kraju, kompanija je pozvala sve korisnike da ostanu oprezni u vezi s pristiglim imejlovima i da budu posebno pažljivi prilikom klikanja na linkove ili preuzimanja priloga.

(Ubrzanje.rs/TechRadar)