Dữ liệu khách hàng vay PayPal bị lộ do lỗi lập trình kéo dài suốt 6 tháng

[WhiteHat Team]

Một lỗi lập trình tưởng chừng nhỏ trong hệ thống của PayPal đã khiến dữ liệu cá nhân nhạy cảm của khách hàng sử dụng dịch vụ vay vốn PayPal Working Capital bị truy cập trái phép trong gần nửa năm. Vụ việc gióng lên hồi chuông cảnh báo về rủi ro bảo mật trong lĩnh vực fintech, nơi dữ liệu tài chính và danh tính người dùng luôn là mục tiêu hấp dẫn của tội phạm mạng.
​

Sự cố liên quan đến sản phẩm PayPal Working Capital (PPWC) - dịch vụ cung cấp khoản vay vốn lưu động cho doanh nghiệp nhỏ và hộ kinh doanh cá thể do PayPal vận hành.

Theo thông báo chính thức, PayPal phát hiện sự cố vào ngày 12/12/2025. Điều tra nội bộ cho thấy dữ liệu đã bị truy cập trái phép trong khoảng thời gian từ 1/7/2025 đến 13/12/2025 (tức khoảng 165 ngày).

Nguyên nhân không phải do hệ thống bị tấn công xâm nhập từ bên ngoài theo kiểu “hack” truyền thống mà bắt nguồn từ một thay đổi mã nguồn (code change) có lỗi. Sau khi phát hiện, PayPal đã khôi phục lại phiên bản mã trước đó vào ngày 13/12/2025, chấm dứt tình trạng truy cập trái phép.

Đến ngày 10/2/2026, công ty mới gửi thư thông báo chính thức cho các khách hàng bị ảnh hưởng.​

Đây có phải là một “lỗ hổng bảo mật” theo nghĩa kỹ thuật?​

Không có mã CVE hay điểm CVSS được công bố cho sự cố này, vì đây không phải lỗ hổng phần mềm phổ biến được công khai rộng rãi mà là lỗi cấu hình/logic nội bộ.

Về bản chất kỹ thuật, đây là một lỗi kiểm soát truy cập (access control failure) phát sinh từ thay đổi trong mã nguồn, khiến dữ liệu đáng lẽ phải được bảo vệ lại có thể bị truy cập bởi những đối tượng không được phép.

Điều đáng chú ý là PayPal khẳng định “hệ thống không bị xâm nhập”. Tuy nhiên, về góc độ an ninh mạng, việc dữ liệu bị truy cập trái phép trong thời gian dài vẫn được xem là một sự cố rò rỉ dữ liệu nghiêm trọng.​

Dữ liệu nào đã bị lộ?​

Thông tin bị ảnh hưởng bao gồm tổ hợp dữ liệu có giá trị cao đối với tội phạm mạng:​

• Họ và tên đầy đủ​
• Địa chỉ email​
• Số điện thoại​
• Địa chỉ doanh nghiệp​
• Số An sinh xã hội (SSN)​
• Ngày sinh​

Sự kết hợp giữa SSN và ngày sinh đặc biệt nguy hiểm, vì đây là hai yếu tố cốt lõi để thực hiện hành vi đánh cắp danh tính tại Mỹ. Dịch vụ PPWC chủ yếu phục vụ doanh nghiệp nhỏ và cá nhân kinh doanh, do đó nhóm bị ảnh hưởng tập trung vào các chủ doanh nghiệp – những người thường có hạn mức tài chính lớn và khả năng vay vốn cao, trở thành mục tiêu hấp dẫn cho tội phạm tài chính.​

Cơ chế dữ liệu bị truy cập trái phép diễn ra như thế nào?​

Dựa trên thông tin công bố, kịch bản có thể được phân tích như sau:

Sau khi một thay đổi mã nguồn được triển khai vào hệ thống, cơ chế kiểm soát quyền truy cập không còn hoạt động chính xác. Điều này có thể đã tạo ra một endpoint hoặc vùng dữ liệu mà người không có quyền vẫn có thể xem được.

Không có dấu hiệu cho thấy đây là một cuộc tấn công tinh vi hay khai thác lỗ hổng zero-day. Thay vào đó, đây là lỗi logic nội bộ tồn tại âm thầm trong nhiều tháng trước khi được phát hiện thông qua kiểm tra bảo mật hoặc rà soát hệ thống.

Một số người dùng báo cáo đã phát sinh giao dịch trái phép, cho thấy dữ liệu có thể đã bị sử dụng để thực hiện hành vi chiếm đoạt tài khoản hoặc lừa đảo.​

Mức độ và phạm vi ảnh hưởng​

PayPal cho biết khoảng 100 khách hàng có thể bị ảnh hưởng. Con số này tương đối nhỏ so với quy mô toàn cầu của PayPal, nhưng tính chất dữ liệu bị lộ lại rất nhạy cảm. Công ty chưa công bố chính xác số lượng người bị ảnh hưởng trên diện rộng. Sau sự cố, PayPal đã:​

• Đặt lại mật khẩu của tất cả tài khoản bị ảnh hưởng​
• Hoàn tiền cho các giao dịch trái phép​
• Cung cấp 2 năm dịch vụ giám sát tín dụng miễn phí thông qua Equifax​

Gói hỗ trợ bao gồm giám sát tín dụng ba cơ quan, cảnh báo gian lận, theo dõi dữ liệu trên dark web và bảo hiểm chống trộm danh tính lên tới 1 triệu USD.​

Rủi ro và hậu quả tiềm ẩn​

Nếu dữ liệu như SSN và ngày sinh rơi vào tay tội phạm, các nguy cơ có thể bao gồm:​

• Mở tài khoản tín dụng trái phép​
• Đăng ký vay vốn giả mạo​
• Chiếm quyền tài khoản tài chính​
• Tấn công lừa đảo có chủ đích (targeted phishing)​
• Social engineering nhắm vào chủ doanh nghiệp​

Với doanh nghiệp nhỏ, hậu quả không chỉ dừng ở mất tiền mà còn có thể ảnh hưởng uy tín kinh doanh và khả năng tiếp cận vốn trong tương lai.​

Bối cảnh an ninh mạng của PayPal​

Sự cố này diễn ra sau một số vấn đề bảo mật khác:​

• Tháng 1/2023, PayPal từng ghi nhận 35.000 tài khoản bị xâm nhập do tấn công credential stuffing.​
• Tháng 1/2025, công ty đạt thỏa thuận 2 triệu USD với cơ quan quản lý tài chính bang New York do vi phạm quy định an ninh mạng.​

Dù PayPal khẳng định hệ thống không bị xâm nhập trong các lần này, nhưng chuỗi sự kiện liên tiếp cho thấy áp lực lớn đối với các công ty fintech trong việc bảo vệ dữ liệu nhạy cảm.​

Người dùng cần làm gì để phòng tránh?​

Các chuyên gia an ninh mạng khuyến nghị:​

• Kích hoạt xác thực đa yếu tố (MFA) cho tài khoản PayPal​
• Không bao giờ cung cấp mật khẩu hoặc mã OTP qua điện thoại, email hay tin nhắn​
• Theo dõi báo cáo tín dụng định kỳ nếu từng sử dụng dịch vụ vay vốn​
• Cảnh giác với email hoặc cuộc gọi yêu cầu xác minh thông tin tài chính​
• Đổi mật khẩu ngay khi phát hiện dấu hiệu bất thường​

Về phía doanh nghiệp, cần tăng cường kiểm tra bảo mật trước và sau khi triển khai thay đổi mã nguồn, áp dụng cơ chế kiểm thử kiểm soát truy cập (access control testing) và giám sát bất thường theo thời gian thực.

Vụ rò rỉ dữ liệu tại PayPal Working Capital không phải là một cuộc tấn công mạng quy mô lớn, nhưng nó cho thấy một thực tế đáng suy ngẫm: đôi khi rủi ro không đến từ hacker tinh vi, mà từ những sai sót nhỏ trong quá trình phát triển và vận hành hệ thống. Trong môi trường fintech, nơi dữ liệu tài chính và danh tính cá nhân có giá trị cao, mọi thay đổi kỹ thuật đều cần được kiểm tra nghiêm ngặt. Với người dùng, đặc biệt là chủ doanh nghiệp nhỏ bắt buộc phải chủ động bảo vệ tài khoản và theo dõi tín dụng để đảm bảo an toàn trong kỷ nguyên số hiện nay.​