Le 18 août 2025, les médias spécialisés Hackread et CyberSecurityNews ont relayé une offre publiée sur un forum clandestin. Un acteur nommé « Chucky_BF » prétend vendre une base de données contenant plus de 15,8 millions d’emails et de mots de passe associés à PayPal. L’information n’est pas confirmée par l’entreprise, mais elle met en lumière les dangers persistants autour du piratage d’identifiants et des données bancaires.
Piratage de Paypal : une annonce qui soulève plus de questions que de certitudes
Hackread décrit un fichier d’environ 1,1 Go, mis en vente au prix de 750 dollars américains. Le lot inclurait des adresses et mots de passe en clair, ainsi que des URL liées aux pages d’authentification de PayPal. Toutefois, l’authenticité n’a pas été vérifiée et Paypal n’a pas confirmé de piratage.
CyberSecurityNews souligne que de tels dumps peuvent provenir d’anciennes fuites, de réutilisations de mots de passe ou d’infections par des logiciels malveillants. Le chercheur Troy Hunt rappelle que PayPal n’aurait jamais stocké ses mots de passe en clair ; selon lui, les données proviendraient probablement d’« info-stealers » ou d’attaques de credential stuffing. Cette remarque incite à la prudence : il est possible que le pirate exploite le nom PayPal pour donner plus de valeur à son offre.
Le contexte plus large des vols d’identifiants
L’annonce de ce dump s’inscrit dans une tendance plus générale : la circulation massive de données compromises sur les places clandestines. En août 2025, The Register rapportait par exemple l’existence de malwares conçus pour aspirer identifiants et cookies depuis les navigateurs des victimes. Ce type d’outil alimente régulièrement les bases revendues sous l’étiquette de services connus comme PayPal, même sans piratage direct des systèmes concernés.
En parallèle, des chiffres récents confirment la fragilité des mots de passe. Selon ITPro, environ 81 % des intrusions liées au hacking proviennent de mots de passe faibles ou réutilisés. Et, de plus, un mot de passe peu robuste peut être craqué en seulement trois minutes. Même en l’absence d’une faille confirmée chez PayPal, les utilisateurs peuvent être exposés dès lors qu’ils emploient des identifiants vulnérables.
Quelles bonnes pratiques retenir pour les utilisateurs PayPal ?
Si la crédibilité de la fuite annoncée reste incertaine, les mesures de cybersécurité à adopter sont claires. Changer son mot de passe PayPal pour une phrase de passe unique et activer l’authentification multifacteur constituent des réflexes essentiels. Il est également recommandé d’utiliser un gestionnaire de mots de passe et de ne jamais réutiliser les mêmes identifiants pour plusieurs services.
Les utilisateurs doivent par ailleurs surveiller régulièrement l’activité de leur compte, configurer des alertes de transaction et garder un œil sur leurs relevés bancaires. Ces pratiques, simples mais efficaces, limitent les conséquences d’une éventuelle fuite. Enfin, l’adoption progressive des passkeys, résistantes au phishing et liées à l’appareil, offre une piste prometteuse pour réduire la dépendance aux mots de passe traditionnels.
