La seguridad digital vuelve a estar en el centro de la escena tras un nuevo episodio que involucra a PayPal. Reportes recientes en foros de la dark web aseguran que hasta 15,8 millones de credenciales de usuarios de la plataforma habrían sido robadas y están siendo comercializadas en línea. La empresa niega que se trate de una vulneración reciente, pero el caso mantiene en alerta a millones de usuarios alrededor del mundo.
El origen de la alerta
La controversia surgió cuando investigadores de ciberseguridad detectaron una publicación en la dark web bajo el título “Global PayPal Credential Dump 2025”. En este repositorio, un usuario identificado como Chucky_BF ofrecía a la venta un archivo de 1,1 GB que supuestamente contenía direcciones de correo electrónico, contraseñas en texto plano y URLs relacionadas con PayPal.
El vendedor asegura que los datos pertenecen a 15,8 millones de cuentas de diferentes regiones —incluyendo España, América Latina, Estados Unidos y varios países europeos— y fija un precio de apenas 750 dólares por la base completa. Una cifra considerada baja para un volumen de información de tal magnitud, lo que de inmediato despertó dudas sobre su veracidad.
La publicación especifica además que los archivos incluyen endpoints como /signin, /signup, /connect, e incluso rutas específicas para Android, lo que facilitaría ataques automatizados y accesos no autorizados si la información fuera auténtica.
La respuesta de PayPal
Ante la viralización de la noticia, PayPal salió a desmentir que se trate de una nueva filtración. En declaraciones enviadas a Cybernews, la compañía afirmó:
“No ha habido ninguna vulneración de datos reciente. Lo que circula está relacionado con un incidente ocurrido en 2022 y no es nuevo”.
Ese episodio al que se refiere PayPal fue un ataque de credential stuffing, en el que los ciberdelincuentes probaron combinaciones de correos y contraseñas obtenidas en otras filtraciones para acceder a cuentas activas de la plataforma. En aquel entonces, se vieron comprometidos unos 35.000 usuarios.
Como consecuencia, PayPal debió afrontar en 2025 el pago de una multa de 2 millones de dólares a las autoridades estadounidenses, debido a deficiencias en sus controles de acceso a datos personales.
Hoy, sin embargo, la compañía insiste en que sus sistemas no han sido vulnerados. El debate gira en torno a la posibilidad de que los datos publicados provengan de infecciones en dispositivos de usuarios mediante malware infostealer.
¿Qué es un infostealer?
Los infostealers son programas maliciosos que se instalan en computadoras o teléfonos tras descargar archivos falsos, abrir correos de remitentes desconocidos o visitar enlaces peligrosos. Una vez activos, recopilan información almacenada en los navegadores, como contraseñas, cookies, formularios de autocompletado y credenciales de servicios en línea.
Posteriormente, estos datos se empaquetan y venden en foros clandestinos. Es decir, la información ofrecida no necesariamente proviene de un hackeo directo a PayPal, sino de una recolección masiva en equipos infectados.
Incertidumbre y contradicciones
Por ahora, no existe verificación independiente de la autenticidad de la base de datos en venta. Algunos expertos consideran que puede tratarse de datos reciclados de antiguas filtraciones, mientras que otros no descartan que incluya credenciales válidas obtenidas por malware en los últimos meses.
La contradicción entre la versión oficial de PayPal y las afirmaciones de los vendedores genera incertidumbre entre los usuarios, que se preguntan si su dinero está en riesgo.
Recomendaciones para proteger tu cuenta de PayPal
Más allá de la falta de confirmaciones, los especialistas insisten en reforzar la seguridad de manera preventiva. Estas son las medidas más importantes:
-
Contraseñas únicas y complejas
Evitar combinaciones simples como “123456” o palabras comunes. Lo recomendable es usar frases largas con números, mayúsculas, minúsculas y símbolos. -
Cambiar la contraseña regularmente
Especialmente si existe sospecha de que pudo haber sido comprometida en alguna filtración. -
Autenticación multifactor (MFA)
Este mecanismo agrega una segunda verificación —por ejemplo, un código SMS o una app de autenticación— que protege la cuenta incluso si alguien obtiene la contraseña. -
No abrir archivos sospechosos
Ni descargar programas de fuentes desconocidas. Así suelen instalarse los infostealers en los dispositivos. -
Monitorear la actividad de la cuenta
Revisar con frecuencia los movimientos de PayPal y reportar cualquier operación inusual de forma inmediata.
Un escenario repetido en la economía digital
El caso de PayPal no es aislado. En los últimos años, otras plataformas financieras y de comercio electrónico también enfrentaron situaciones similares, lo que refleja el crecimiento del mercado negro de credenciales digitales.
Para los ciberdelincuentes, estas bases de datos son altamente valiosas: permiten fraudes financieros, suplantación de identidad y accesos ilegítimos a múltiples servicios. De hecho, muchos usuarios reutilizan la misma contraseña en diferentes plataformas, lo que multiplica los riesgos.
La responsabilidad compartida
Si bien PayPal niega una vulneración directa, el incidente reabre el debate sobre la responsabilidad compartida entre las empresas y los usuarios. Las compañías deben invertir en sistemas de seguridad avanzados, pero los usuarios también deben adoptar hábitos digitales más seguros.
En un contexto donde el cibercrimen se profesionaliza y utiliza técnicas cada vez más sofisticadas, la combinación de tecnología robusta y buenas prácticas individuales se vuelve esencial.
Leer mas
- PayPal World: la nueva plataforma que une billeteras digitales globales y revoluciona los pagos transfronterizos
- Cisco y San Jose Earthquakes se unen para llevar el Wi-Fi 6 a PayPal Park
- Suplantan a PayPal para robar a los usuarios a través de mensajes de texto, WhatsApp y llamadas
