PayPal“1,580万件”流出的冲击：X上警告扩散，消费者团体也发出注意提醒 - PayPal密码是否应立即更改

德国新闻网站RUHR24报道，约有“1,580万个”PayPal账户的电子邮件地址和密码组合正在出售。出售者是一名自称“Chucky_BF”的黑客。数据据称是“5月6日”创建的1.1GB文本，尽管真实性尚未确认，但用户应立即更改密码并监控可疑活动。文章还介绍了消费者团体的基本对策。ruhr24.de

发生了什么——数字与主张

多家安全媒体报道称，在黑客论坛上，“1,580万个PayPal登录（电子邮件+明文密码+相关URL）”以“750美元”出售。信息已在Hackread和Bitdefender的报告中得到确认，来源不是PayPal的直接入侵，而是“信息窃取型恶意软件日志的集合”的可能性较高。hackread.comBitdefender

另一方面，PayPal否认有“新的入侵”。部分报道引用了公司方面的解释，称其与“过去的事件（2022年的事件）有关”。尽管真实性尚未确定，但重复使用密码被跨平台滥用的风险是现实的。Tom's GuideTechRadarCybernews

社交媒体的反应——警告、怀疑和实用建议

在X（前Twitter）上，网络情报账户Hackmanac迅速警告“Chucky_BF声称出售1,580万组明文凭证”。用户被敦促更改密码并启用2FA，相关帖子迅速传播。威胁信息聚合器ThreatMon也分享了“据称为1.1GB的转储”公告以提醒注意。X (formerly Twitter)

在研究人员和媒体之间，“价格过低=质量低”“旧数据/重复使用数据的集合？”的怀疑也在蔓延。德国科技媒体介绍了“来源可能不是PayPal本身”的论调。对于普通用户，更多的是“不要惊慌，但要提前防御”的现实声音。heise online

此外，消费者中心账户和网站提醒注意“PayPal伪装钓鱼”的增加。这些手法通过“主题：账户限制”等假通知引导至假登录，建议直接从官方应用/网站打开设置。Verbraucherzentrale.de

“750美元”这个价格的含义

对于如此庞大的数据来说，这个价格极其低廉——这通常暗示“不是新鲜、高质量的入侵数据，而是通过钓鱼或恶意软件零散窃取的‘日志’的集合”。信息窃取者会彻底获取浏览器保存的密码、Cookie和自动填充信息，因此有时会包含明文密码。结果是“旧的/重复使用”的混杂和重复很多，买家用“量”来进行凭证填充攻击。报道大致提到了这种情景。Tom's GuideTechRadar

风险的真实面貌——凭证填充

攻击者使用购买的凭证列表通过机器人进行横向扩展，反复尝试登录电子商务、订阅、电子邮件、加密货币交易所等。密码重复使用率越高，成功率就越高，未设置双因素认证的账户更容易成为劫持或欺诈转账的目标。RUHR24的文章也提醒注意这些手法。ruhr24.de

立即可采取的实际对策（含验证链接）

1. 立即更改PayPal密码：使用长且唯一、难以猜测的密码。杜绝过去的重复使用。Verbraucherzentrale.de

2. 启用双因素认证（2FA/MFA）：推荐使用应用程序/物理密钥而非短信。Verbraucherzentrale.de

3. 检查可疑登录和支付：重新审视历史记录和通知设置。Verbraucherzentrale.de

4. “不要通过外部链接更改设置”：不要使用电子邮件或短信中的URL，而是通过官方应用/书签。Verbraucherzentrale.de

5. 使用泄露检查工具进行自我检查：
   　・在Have I Been Pwned（HIBP）中查询电子邮件地址。Have I Been Pwned
   　・experte.de的日语解说检查。Experte
   　・波恩大学的Leak Checker（结果通过电子邮件通知）。Leak Checker
   　※“此次‘PayPal疑似数据’的官方查询窗口”目前尚未公开。即使检查结果“安全”，如果有重复使用务必更改。

6. 全面清理其他服务：使用密码管理器清除重复使用，若可能迁移到Passkey。

7. 注意“冒充账户冻结”的新型钓鱼：最近观察到以PayPal名义的假警告。Verbraucherzentrale.de

按时间顺序整理（日本时间/Asia/Tokyo）

• 2025年8月18日左右：安全媒体和研究人员相继报道/分享“1,580万个销售公告”。hackread.comBitdefenderX (formerly Twitter)

• 同一时期：报道PayPal评论称“没有新的入侵”。Tom's GuideTechRadarCybernews

• 8月21日至24日：一般媒体和地方报纸传播警告。RUHR24发布更新文章。ruhr24.de

编辑后记——“真伪不明”但准备是正确的

即使数据是旧的集合，“密码重复使用”这一点仍然是攻击的突破口。随着新闻的传播，钓鱼攻击也会增加。以最小的成本获得最大的安心，现在可以实施的是“①所有账户使用强而‘唯一’的密码化”“②彻底执行2FA”“③不点击可疑链接”这三点。只要遵循这些，即使发生像这次这样的“大骚动”，您的账户也能站在“难以成为攻击目标的一方”。

Powered by Froala Editor