PayPal : la fuite de "15,8 millions" de comptes choque : alerte diffusée sur X, les associations de consommateurs mettent également en garde - Faut-il changer immédiatement votre mot de passe PayPal ?

Le site d'actualités allemand RUHR24 a rapporté un avertissement selon lequel un ensemble de courriels et de mots de passe correspondant à "environ 15,8 millions" de comptes PayPal est en vente. Le vendeur se présente comme un hacker nommé "Chucky_BF". Les données seraient un texte de 1,1 Go créé le "6 mai", bien que leur authenticité ne soit pas confirmée. Les utilisateurs sont invités à changer immédiatement leur mot de passe et à surveiller toute activité suspecte. L'article présente également des mesures de base recommandées par les associations de consommateurs.ruhr24.de

Ce qui s'est passé——chiffres et revendications

Plusieurs médias spécialisés en sécurité ont rapporté que "15,8 millions de connexions PayPal (courriel + mot de passe en clair + URL associée)" sont vendues pour "750 dollars" sur un forum de piratage. L'information a été confirmée par des rapports de Hackread et Bitdefender, et il est largement supposé que la source n'est pas une violation directe de PayPal, mais plutôt un "rassemblement de journaux de logiciels malveillants de type info-stealer".hackread.comBitdefender

D'autre part, PayPal a nié toute "nouvelle violation". Certaines parties des rapports mentionnent que cela pourrait être lié à des incidents passés (affaire de 2022) selon l'explication de l'entreprise. Même si l'authenticité n'est pas confirmée, le risque d'utilisation abusive croisée des mots de passe réutilisés est bien réel.Tom's GuideTechRadarCybernews

Réactions sur les réseaux sociaux——Avertissements, scepticisme et conseils pratiques

Sur X (anciennement Twitter), le compte Hackmanac, spécialisé en cyber-intelligence, a rapidement averti de la "revendication de vente de 15,8 millions de crédentiels en clair par Chucky_BF". Un post incitant les utilisateurs à changer leur mot de passe et à activer la 2FA a été largement diffusé. L'agrégateur d'informations sur les menaces ThreatMon a également partagé l'annonce d'un "dump de 1,1 Go" pour sensibiliser.X (formerly Twitter)

Parmi les chercheurs et les médias, le scepticisme s'est répandu avec des questions telles que "le prix est trop bas = qualité médiocre" ou "un mélange de données anciennes/réutilisées ?". Les médias technologiques allemands ont présenté l'opinion selon laquelle "la source n'est probablement pas PayPal lui-même". De nombreuses voix réalistes encouragent les utilisateurs à "ne pas paniquer, mais à prendre des mesures préventives".heise online

Les comptes et sites des centres de consommateurs ont également mis en garde contre l'augmentation du "phishing usurpant l'identité de PayPal" ciblant les utilisateurs avec des notifications frauduleuses telles que "Objet : Limitation de compte" pour les inciter à se connecter à un faux site. Il est recommandé d'ouvrir les paramètres directement depuis l'application/site officiel.Verbraucherzentrale.de

Ce que le prix de "750 dollars" révèle

Un prix exceptionnellement bas pour un ensemble de données massif——cela suggère souvent "un rassemblement de 'logs' volés de manière disparate via le phishing ou les logiciels malveillants, plutôt que des données de violation nouvelles et de haute qualité". Les info-stealers capturent les mots de passe enregistrés dans le navigateur, les cookies et les informations de remplissage automatique, ce qui peut inclure des mots de passe en clair. En conséquence, il y a souvent un mélange d'anciens/réutilisés et de doublons, et les acheteurs utilisent ces données pour des attaques de credential stuffing en masse. Les rapports mentionnent généralement ce scénario.Tom's GuideTechRadar

La réalité du risque——Credential Stuffing

Les attaquants utilisent des listes de crédentiels achetées pour tenter de se connecter à des sites de commerce électronique, d'abonnement, de messagerie, d'échanges de cryptomonnaies, etc., en utilisant des bots. Plus le taux de réutilisation des mots de passe est élevé, plus le taux de réussite augmente, et les comptes sans authentification à deux facteurs sont ciblés pour des prises de contrôle ou des transferts frauduleux. L'article de RUHR24 met également en garde contre ces méthodes.ruhr24.de

Mesures pratiques immédiates (avec liens de vérification)

1. Changement immédiat du mot de passe PayPal : Utilisez un mot de passe long, unique et difficile à deviner. Évitez toute réutilisation passée.Verbraucherzentrale.de

2. Activer l'authentification à deux facteurs (2FA/MFA) : Préférez une application/clé physique plutôt que les SMS.Verbraucherzentrale.de

3. Vérifiez les connexions et paiements suspects : Passez en revue l'historique et les paramètres de notification.Verbraucherzentrale.de

4. Ne modifiez pas les paramètres à partir de liens externes : Utilisez l'application officielle ou un favori, pas les URL dans les courriels ou SMS.Verbraucherzentrale.de

5. Auto-vérification avec des outils de vérification de fuite :
   ・Consultez Have I Been Pwned (HIBP) pour vérifier votre adresse e-mail.Have I Been Pwned
   ・Vérifiez avec une explication en japonais sur experte.de.Experte
   ・Utilisez le Leak Checker de l'Université de Bonn (résultats par notification e-mail).Leak Checker
   ※Il n'existe actuellement pas de "point de contact officiel pour vérifier les données suspectes de PayPal" pour cette affaire. Même si les résultats de la vérification indiquent "sécurisé", changez impérativement si vous avez réutilisé des mots de passe.

6. Passez en revue tous vos services : Éliminez la réutilisation avec un gestionnaire de mots de passe, et migrez vers des passkeys si possible.

7. Attention aux nouvelles tentatives de phishing prétendant "geler votre compte" : De fausses alertes au nom de PayPal ont été récemment observées.Verbraucherzentrale.de

Chronologie (heure japonaise/Asia/Tokyo)

• Vers le 18 août 2025 : Les médias de sécurité et les chercheurs rapportent/partagent successivement l'annonce de "vente de 15,8 millions".hackread.comBitdefenderX (formerly Twitter)

• Même période : Il est rapporté que PayPal a commenté qu'il n'y a "pas de nouvelle violation".Tom's GuideTechRadarCybernews

• 21-24 août : Les médias grand public et locaux diffusent des avertissements. RUHR24 publie un article mis à jour.ruhr24.de

Éditorial——Même si "l'authenticité est incertaine", se préparer est la bonne décision

Même si les données sont un ancien rassemblement, "la réutilisation des mots de passe" reste une porte d'entrée pour les attaques. Le phishing augmente également lorsque les nouvelles se répandent.Pour obtenir une tranquillité d'esprit maximale avec un coût minimal, il est essentiel de mettre en œuvre dès maintenant "1) des mots de passe forts et 'uniques' pour tous les comptes