PayPal lekte maandenlang rijksregisternummers via kredietapp
In een bericht aan getroffen klanten zegt PayPal dat het lek tussen 1 juli en 13 december 2025 aanwezig was in de PayPal Working Capital (PPWC)-app. Via die app kunnen bedrijven bij PayPal werkkapitaal aanvragen. Een update van die applicatie gaf hackers echter toegang tot klantgegevens, waaronder namen, e-mailadressen, adresgegevens, telefoonnummers en ook geboortedata en rijksregisternummers van de aanvrager(s).
Van hoeveel klanten er precies data is gelekt, laat PayPal in het midden. Ook is het onduidelijk of gegevens van Europese PayPal-klanten zijn getroffen. De Business Krediet-dienst is ook in Europa beschikbaar, maar daarover wordt niet expliciet gecommuniceerd. De formulering van de brief die circuleert, bevat in elk geval alleen details voor Amerikaanse klanten, inclusief kredietbescherming via Equifax.
Wijziging teruggedraaid na ontdekking
PayPal stelt dat het lek één dag na ontdekking werd gedicht. Daarvoor moest de betaalprovider naar eigen zeggen slechts een fout in de code verwijderen die eerder in 2025 was geïntroduceerd. Die fout maakte het mogelijk dat kwaadwillenden persoonsgegevens uit kredietaanvragen konden inkijken.
Volgens PayPal is daar ook effectief misbruik van gemaakt: bij sommige klanten werden de gegevens gebruikt voor frauduleuze transacties. Zij kregen een terugbetaling van het bedrijf. Het zou om een ‘beperkt aantal’ klanten gaan.
Van alle getroffen klanten heeft PayPal intussen de wachtwoorden gereset. Het bedrijf benadrukt daarnaast dat het klanten nooit telefonisch, per e-mail of via andere kanalen zal vragen om een wachtwoord, 2FA-code of andere authenticatiegegevens te delen.
Extra waakzaamheid voor phishing
Getroffen klanten worden ook gewezen op het verhoogde risico op phishing. De gelekte persoonsgegevens kunnen gebruikt worden om slachtoffers via gerichte aanvallen te misleiden tot het delen van bijkomende gegevens. Zulke pogingen kunnen plaatsvinden via telefoon, e-mail of sms.
Voorzichtigheid is altijd geboden bij het delen van persoonlijke informatie, maar voor slachtoffers van dit datalek ligt het risico op gerichte phishingaanvallen momenteel vanzelfsprekend hoger.
