Après avoir fait les grands titres pendant l’été pour annoncer la prise en compte d’une centaine de crypto-monnaies aux Etats-Unis, PayPal est de retour sur le devant de la scène, mais pour une nouvelle moins glorieuse…

Alors que les fuites de données massives se multiplient depuis plusieurs, dont une très récente au mois de mai dernier qui concernait 184 millions de mots de passe dans le monde, cette nouvelle faille concerne exclusivement PayPal.

15,8 millions de comptes PayPal accessibles sur le darkweb

Capture d'écran sur un forum du dark web - Source : X

Capture d’écran sur un forum du dark web – Source : X

Une fois de plus, c’est sur le « dark web« , cette partie complètement invisible du web pour le grand public, que cette nouvelle fuite de données est apparue. Sur un forum de discussion spécialisé dans la vente de données volées, Chucky_BF, le vendeur, affirme détenir un fichier de 1,1 Go.

A l’intérieur, on devrait retrouver des adresses e-mails, des mots de passe en clair et des URLs associées à des comptes PayPal. Présentée sous le nom de « Global PayPal Credential Dump 2025« , cette base de données est proposée actuellement à 750 dollars, un tarif très courant pour ce type de contenus sur le marché de la cyber-criminalité.

La base de données, repérée par un utilisateur sur X ces derniers jours, présente des échantillons qui montrent des structures avec à la fois des identifiants PayPal, mais aussi des chemins de connexion avec /signin ou /connect, ce qui pourrait faciliter les tentatives de connexion automatisées.

Une fuite de données improbable pour PayPal ?

S’il est pour le moment encore impossible de savoir comment ces données ont été récupérées, et s’il s’agit réellement de véritables données, il est légitime de se demander d’où provient cette fuite de données.

Troy Hunt, expert en cybersécurité et créateur de la célèbre plateforme « Have I Been Pwned », a rapidement réagi sur le sujet sur X. Dans son message sur le réseau social, celui-ci estime improbable que PayPal ait laissé fuiter des mots de passe en clair. D’après lui, cette fuite de données pourrait davantage provenir de malwares conçus pour voler des informations, autrement dit des « infostealers« .

PayPal dément une violation de son système

Face à ces accusations et aux nombreuses inquiétudes des utilisateurs de la plateforme, PayPal a très rapidement réagi. Dans une déclaration auprès de Cybernews, un représentant de l’entreprise assure qu’aucune de ses bases de données n’a été compromise, et renvoie à un incident survenu en 2022.

Après une première analyse, des experts ont d’ailleurs relevé que les éléments montraient un mélange de comptes réels, de données réutilisées, et même de profils fictifs, ce qui pourrait aller dans le sens de PayPal.