Hackers están vendiendo 15.8 millones de credenciales de PayPal en la dark web
Paypal asegura que las credenciales que fueron robadas por los hackers no son actuales sino que forman parte de un ataque previo ocurrido en 2022
Los hackers están permitiendo que cualquier persona acceda a la base de datos robada por tan solo $750 dólares Crédito: Shutterstock
Un grupo de hackers asegura haber robado 15.8 millones de credenciales de acceso de PayPal — correos electrónicos y contraseñas en texto plano — y las tiene a la venta en foros de la dark web. Según la publicación que saturó comunidades clandestinas, este arsenal digital supuestamente fue obtenido en mayo de 2025, y no escatiman en detalles: los datos incluyen URLs vinculadas directamente con los servicios de PayPal.
El vendedor, que se hace llamar Chucky_BF, habla de un archivo de 1.1 GB con pares email:password:url de todo el planeta, incluyendo dominios como Gmail, Yahoo, Hotmail y variantes móviles de PayPal. Lo más impactante es que lo están vendiendo por apenas 750 dólares, un precio sospechosamente bajo para algo que, si es real, debería valer mucho más.
¿Brecha fresca o reciclaje de vieja data?
PayPal se apresuró a decir que esto no es un hackeo nuevo en 2025, sino que se trata de datos vinculados a un ataque de credential stuffing ocurrido en 2022, cuando se comprometieron unas 35 mil cuentas. En una declaración enviada a medios especializados afirmaron: “No ha habido ninguna brecha de datos — esto está relacionado con un incidente en 2022 y no es nuevo”.
Expertos independientes se han mostrado escépticos. Revisaron una pequeña muestra del supuesto lote filtrado y concluyeron que no se puede verificar su autenticidad. Además, si esos datos realmente se recolectaron en mayo, es probable que muchos ya estén siendo usados por cibercriminales, lo que resta valor al paquete.
El formato del dump —con URLs, credenciales y variantes móviles— recuerda más a muestras típicas de malware infostealer que roba información desde dispositivos infectados, en lugar de una intrusión directa en los servidores de PayPal.
Riesgo real y medidas urgentes para usuarios
Aun si la autenticidad del dump está en duda, lo alarmante es que cerca de 16 millones de credenciales PayPal podrían estar circulando. Si los datos son válidos, podrían usarse para ataques masivos de credential stuffing, phishing enfocado o acceso fraudulento a cuentas.
PayPal insiste en que la información no proviene de una brecha en sus sistemas en 2025, sino de aquel incidente de 2022. Pero que sea algo antiguo no lo hace menos peligroso.
En ese sentido, la historia sirve como alerta urgente para todos los usuarios:
- Cambia tu contraseña de PayPal de inmediato si sospechas que has podido estar afectado.
- Usa contraseñas únicas y sólidas, y habilita autenticación de dos factores (2FA) para protegerte aún si alguien tiene tu usuario y contraseña.
- Presta atención a posibles correos o mensajes de phishing que aprovechen esta noticia y hagan algo como “tu cuenta está en riesgo, haz clic aquí”.
- Considera usar gestores de contraseñas o métodos más seguros como passkeys, que están diseñadas para evitar ataques basados en contraseñas robadas.
Este incidente —se confirme o no— pone el foco sobre cuán peligroso puede ser el malware que roba información personal, especialmente en un entorno en línea donde reutilizar contraseñas sigue siendo tan común. PayPal lo niega, los hackers lo venden, y tú, usuario, podrías terminar siendo una pieza en este juego sin darte cuenta.
Sigue leyendo:
• PayPal lanzó su propia stablecoin: Esto es lo que deben saber los inversores
• PayPal amplía sus opciones de pago con criptomonedas
• PayPal realiza su primera transacción comercial con PYUSD
