Une prétendue fuite de données PayPal de 15,8 millions d’identifiants a été mise en vente sur un forum de pirates ; la nature exacte de cette divulgation reste cependant contestée, et les spécialistes recommandent prudence et bonnes pratiques, notamment le changement de mot de passe et l’activation de la double authentification.
Détails de la prétendue fuite de données PayPal
Sur un forum dédié à la cybercriminalité, un utilisateur se présentant comme Chucky_BF propose à la vente 1,1 Go de données qu’il affirme provenir d’une fuite massive de PayPal. Le lot comprendrait 15,8 millions de couples identifiants — principalement des adresses Gmail, Yahoo et Hotmail — et mots de passe affichés en clair.
Selon l’annonce, la fuite daterait de mai 2025 et les informations seraient disponibles sans chiffrement. Ces prétentions ont rapidement suscité des inquiétudes chez des internautes et des spécialistes de la sécurité, d’autant que 2025 est déjà marquée par de nombreuses atteintes à des services majeurs, mentionnées dans plusieurs signalements publics.
Vérifications des experts et réactions : qui croire ?
PayPal a démenti qu’il s’agisse d’une brèche récente affectant ses systèmes et a indiqué que les données évoquées pourraient provenir d’un incident antérieur, en 2022. Le groupe a ainsi cherché à temporiser face à l’ampleur supposée de l’annonce.
Le chercheur en sécurité Troy Hunt, à l’origine du site Have I Been Pwned, a également exprimé ses doutes quant à la provenance des mots de passe en clair. Il estime que « Given passwords definitely didn’t come from PayPal in plain text, they’ve either been obtained another way (info stealer, credential stuffing) or there’s another explanation for this claim 🤔 [https://t.co/xmDyRaFbhL] » — Troy Hunt (@troyhunt) [August 16, 2025].
Cette appréciation renvoie à deux explications techniques plausibles, déjà évoquées par des spécialistes : soit les identifiants ont été récupérés via des logiciels voleurs d’informations (info stealer), soit ils résultent d’attaques de « credential stuffing », où des combinaisons identifiants/mots de passe volées sur d’autres services sont testées automatiquement sur des plateformes comme PayPal.
Plus généralement, des ensembles de données présentés comme de « grosses fuites » peuvent parfois résulter d’un amalgame de fichiers volés sur plusieurs services à des moments différents ; c’est une hypothèse avancée par plusieurs intervenants de la communauté sécurité.
Que faire si vous utilisez PayPal : recommandations pratiques
En l’absence de confirmation formelle d’une brèche récente côté PayPal, il reste prudent d’adopter ou de renforcer des mesures de sécurité individuelles. Les conseils suivants reprennent des pratiques standard en cybersécurité :
- Changez votre mot de passe PayPal si vous utilisez un mot de passe ancien ou réutilisé sur d’autres services.
- Activez la double authentification (2FA) sur votre compte PayPal pour ajouter une couche de protection.
- N’utilisez pas le même mot de passe sur plusieurs services ; une compromission sur un site peut permettre des attaques par réutilisation d’identifiants.
- Envisagez l’utilisation d’un gestionnaire de mots de passe pour générer et stocker des mots de passe uniques et complexes.
- Surveillez les notifications officielles de PayPal et les adresses e‑mail liées à votre compte pour repérer toute activité suspecte.
Ces mesures restent pertinentes que la fuite de 15,8 millions d’identifiants soit avérée ou qu’il s’agisse d’un recoupement de fichiers historiques ; elles réduisent significativement le risque d’accès non autorisé à vos comptes.