Hackers stelen geld en data bij 100 zakelijke PayPal-klanten na lek bij PayPal

PayPal had zes maanden lang een 'fout' bij zijn zakelijkeleningendienst, waardoor persoonsgegevens in te zien waren. Door het probleem konden criminelen ook geld stelen. Het bedrijf kwam hier op 12 december achter en informeert klanten er nu over.

PayPal spreekt van 'een fout' bij het PayPal Working Capital-platform. Dit is een dienst waarmee kleine bedrijven een lening kunnen aanvragen. In het Nederlands heet dit PayPal Business Krediet. Door de fout waren persoonsgegevens in te zien, waaronder naam, e-mailadres, telefoonnummer, zakelijk adres, het Amerikaanse equivalent van een burgerservicenummer en de geboortedatum.

Het bedrijf zegt niet dat er ook inloggegevens zijn gestolen. Hier lijkt het wel op, want het bedrijf meldt dat bij 'enkele klanten' 'ongeautoriseerde transacties' zijn ontdekt. Deze klanten zijn door PayPal terugbetaald en krijgen ook kredietmonitorings- en identiteitsbeschermingsdiensten via een derde partij.

De fout werd veroorzaakt door een codeverandering op 1 juli 2025 en werd pas op 12 december 2025 ontdekt. Een dag later werd de code teruggedraaid. PayPal deelt geen details over de fout en zegt ook niet hoeveel er is gestolen bij klanten. Het is ook niet duidelijk of er alleen Amerikaanse klanten zijn getroffen. PayPal zegt tegen Bleeping Computer dat er zo'n 100 klanten zijn getroffen en zegt dat zijn computersystemen niet gecompromitteerd waren.

Reacties (50)

[Feb74]

12-12-2025 er achter komen , en dan pas 20-2-2026 klanten informeren?

[Bestseller]

Het aandeel van PayPal is de afgelopen weken enorm gekelderd. Het laatste wat je wilt is slecht nieuws naar buiten brengen.

[Woodsnaps]

En al zeker met hun Honey-praktijken die aan het licht zijn gekomen het afgelopen jaar.

Paypal is gewoon zelf een moderne, malafide boevenbende geworden.

[as400]

Hoezo geworden? Wikipedia: PayPal Mafia

[Blizz]

Tja. Peter Thiel. Heel kort ook Elon Musk, tot ze hem na een week als CEO zat waren en hem praktisch uit het bedrijf gooiden.

[aquinox]

jep. geen mogelijkheid om dollars naar dollarrekening te sturen, dus forceren conversiekosten... om maar 1 ding te noemen.

[sircampalot]

Dat riekt naar handel met voorkennis.

[Haruhi]

Een bedrijf dat groot geworden is met chargeback fees?
Wat een verrassing :D

[Polderviking]

Ik ben een jaar of 5 geleden gestopt met Paypal toen zo'n chinese scammer door Paypal in bescherming werd genomen.

Scam was, je koopt X item, krijgt "per ongeluk" een of ander waardeloos plastic ding toegestuurd, je klaagt er over, en dan wil Paypal dat je dat foute waardeloze item eerst op eigen kosten gaat terugsturen naar China voordat je je geld terug krijgt.
Of je neemt een of andere "extra" service bij Paypal af en dan dekken ze die verzendkosten (deels).
Het is dus wel helder waar de prikkel zit voor Paypal hier, en waarom ze dit gewoon blijven toestaan, ook al staat hun eigen community forum vol met topics over exact precies deze "verkoper" die deze "fout" maakt bij een heel leger mensen.

Met zo'n beleid verbaast het me ook niks dat ze dit soort shit "vergeten" te melden.
Bij mij ging het maar om 30 euro, maar volgens mij vallen er bij die hut gigantische lijken uit de kast als je er echt eens op zou inzoomen.
Ik blijft ver uit de buurt van Paypal.

[Reactie gewijzigd door Polderviking op 20 februari 2026 23:55]

[StGermain]

Ik heb de europese ombudsman moeten inschakelen alvorens paypal mij een restitutie deed. Voor een bedrag van 34€, het beetje geld maakte mij niks uit maar het ging om het principe... Zonder druk deed paypal niks, na druk van de ombudsman hebben ze het geld teruggestort als "geste"...

[aquinox]

op Welk emailadres /nr kan je klagen?

[StGermain]

Voor mij was het via https://www.eccbelgium.be/ die hebben het dan doorgespeeld aan de Luxemburgse collega’s omdat paypal daar een banklicentie heeft.

[Reactie gewijzigd door StGermain op 21 februari 2026 21:45]

[Polderviking]

Ik had het eigenlijk ook moeten escaleren maar het bedrag leek me te laag voor iemand om iets mee te doen en vond het vooral allemaal zo ontzettend flauw.
Flauw omdat de scam gewoon zo duidelijk is en het gewoon een gat in de voorwaarden van Paypal exploiteert en daarmee Paypal zelf feitelijk die scam facaliteert.

Dat gaat Paypal natuurlijk nooit erkennen dus doen ze net alsof het een eerlijke vergissing is.
Dat gaat natuurlijk a: voorbij aan het feit dat hun eigen community volstaat over deze scammer, en b: zelfs al was het een vergissing zie ik nogsteeds niet vanuit welk principe van billijkheid of redelijkheid ik verzendkosten voor het terugsturen zou moet dekken.

Verder is communiceren met Paypal sowieso alsof je je gezicht over schuurpapier haalt terwijl je in een overvolle dixie zit die in de volle zon staat, met het kwik op 40 graden.
Ik heb echt betere bestemmingen voor mijn energie.

[Reactie gewijzigd door Polderviking op 22 februari 2026 10:37]

[kx22]

Ja maar dit probleem heb je vaker of zowat overal bij elke betaalplatform. Ook bij Vinted kan je een kapot voorwerp krijgen en mag je op eigen kosten terugzenden.

Je kan beter iets meer betalen via Amazon want die geven je geld gewoon terug. Ook als je een baksteen terug stuurt.

[Polderviking]

Vinted is een platform, de verkoop is private handel tussen twee consumenten ala marktplaats.

Dit was gewoon een webshop.

Amazon ga ik sowieso geen geld naartoe brengen, daar klotst al meer dan genoeg geld tegen de plinten op.
Zodanig dat Bezos gewoon uit pure verveling mensen "de ruimte" in zit te schieten.

[Reactie gewijzigd door Polderviking op 22 februari 2026 10:35]

[bytemaster460]

Probleem was dat Paypal niet alleen te maken kreeg met oplichting door webshops of scammers maar consumenten gingen ook de boel flessen toen bleek dat je als consument heel gemakkelijk je geld terugkreeg als je een dispuut aanmaakte. Ik kan me dus voorstellen dat ze ergens een lijn gingen trekken en eisen dat een product eerst terug gaat. Paypal is geen partij en hoeft dus niet op te draaien voor verzendkosten.

[Polderviking]

Het probleem is niet dat dat product terug moet, maar dat ik daar voor moet betalen.
Als je gewoon redelijkheid toepast ergens in dit verhaal door bijvoorbeeld retouren van defecte of foute leveringen het probleem van de verkoper te maken werkt deze scam niet.

Verder was dit ook niet echt alleen mijn woord versus zijn woord, het kan niet anders dan dat er tig claims tegen deze verkoper liepen want hij/zij had een eigen topic op Paypal's eigen forum met honderden reacties en ik had een jaren oud, best goed gebruikt account die nog nooit iets van een claim had ingedient.

Dit was echt geen randgevalletje, dit was gewoon Paypal die het naliet er echt naar te kijken in plaats van het gewoon in routine af te wimpelen.

[Reactie gewijzigd door Polderviking op 23 februari 2026 12:10]

[bytemaster460]

Maar Paypal is daar feitelijk geen partij in wie de verzendkosten moet betalen. Die moeten zich beperken tot de vraag of een betaling legitiem is

[Polderviking]

Dat is kul want dat zijn Paypal's eigen voorwaarden waar ze mee zaten te gooien.
Ze profileren zichzelf daarbij ook al sinds het begin expliciet als betrouwbaar platform dat zogenaamd bescherming bied, dus ik snap niet echt waar je naartoe wil.

[bytemaster460]

De bescherming gaat over de transactie zelf. Niet over de aankoop. Dat zijn twee verschillende dingen.

[Polderviking]

De legitiemiteit van de transactie kan je natuurlijk niet los zien van wat er feitelijk gebeurd hier...

[bytemaster460]

Jawel, dat staat wel los van elkaar. Net zoals de bank geen partij is bij een geschil tussen een koper en verkoper.

[Polderviking]

Dit is geen geschil, dit is een persoon die actief mensen aan het oplichten is waar paypal met hun "kopersbescherming" niets tegen ondernam.
En transacties, in ieder geval met een creditcard, kan je absoluut wel disputeren als je gelicht wordt.

[bytemaster460]

Zeker kun je die disputeren, maar dat gaat niet meer zo eenvoudig als vroeger. Ook daar moet je eerst aan allerlei voorwaarden voldoen, zoals het terugsturen van een product. Heb het zelf onlangs aan de hand gehad. Product in Azië besteld. Wel ontvangen maar is defect. Verkoper reageert nergens op. CC-maatschappij zegt niets te kunnen doen.

Probleem is dat jij als gebruiker van Paypal kan roepen dat je opgelicht bent terwijl de oplichter roept dat jij misbruik maakt van de situatie. Paypal gaat dat niet tot op de bodem uitzoeken. Die zeggen: stuur maar terug wat je ontvangen hebt en daarna wordt de transactie teruggedraaid.

[Polderviking]

Zeker kun je die disputeren, maar dat gaat niet meer zo eenvoudig als vroeger. Ook daar moet je eerst aan allerlei voorwaarden voldoen, zoals het terugsturen van een product. Heb het zelf onlangs aan de hand gehad. Product in Azië besteld. Wel ontvangen maar is defect. Verkoper reageert nergens op. CC-maatschappij zegt niets te kunnen doen.

Diverse mensen die met een Creditcard had betaald had er geen probleem mee om die transactie terug te draaien na text en uitleg.
Daar was ik er helaas niet een van want ik was toen nog allergisch voor creditkaarten.
Daar werd paypal natuurlijk wel pissig van maar dat is verder niet zo relevant als je toch niet meer de intentie hebt om dat platform te gaan gebruiken.

Er was meer dan genoeg aan contextueel bewijs beschikbaar om het aannemelijk te maken dat er opzet in het spel was.
En nogmaals, zelfs zonder opzet, van de koper verwachten dat die gaat opdraaien voor de "fout" van de verkoper is te bizar voor woorden.

Probleem is dat jij als gebruiker van Paypal kan roepen dat je opgelicht bent terwijl de oplichter roept dat jij misbruik maakt van de situatie.

Dat kan ja.
Maar je weet ook niet of dat wat ik dan terugstuur echt het item is wat ik heb ontvangen.

En hoe waarschijnlijk is het dat ik met een verder vlekkeloos account lieg, en een verkoper met een eigen topic op het Paypal community forum (wat paypal inmiddels ook de nek om heeft gedraaid kennelijk) een topic heeft met honderden mensen met dezelfde klacht.

En dat zijn dan alleen de mensen die dat community forum hebben gevonden.

Paypal gaat dat niet tot op de bodem uitzoeken.

Uitzoeken? Paypal is te bedonderd om gewoon voorgekauwde informatie door te nemen, laat staan dat ze uberhaupt iets gaan uitzoeken.

Die zeggen: stuur maar terug wat je ontvangen hebt en daarna wordt de transactie teruggedraaid.

Waarmee ze die scam facaliteren.

Edit:
Maargoed volgens mij veranderd dit onderhand te veel in een slowchat, dus ik haak af.

[Reactie gewijzigd door Polderviking op 24 februari 2026 10:06]

[KarelAnker1989]

Jemig, is het bekend waarom ze zo lang hebben gewacht?

[Xfade]

Onderzoek denk ik dan. Maar iets minder dan 2 maand is best heel lang inderdaad.
13e december code teruggedraaid, 10 februari ingelicht.

[BillyButcher]

Ik lees de laatste tijd alleen maar over datalekken. Het gaat goed tegenwoordig

[Aardappel]

Dat is de reden dat je niet al je gegevens zomaar uit handen moet geven. Of het nou een vreemd bedrijf is, en gerenommeerd bedrijf, of overheid.
Kans is dat er vroeg of laat een lek is waarbij ze je gegevens stelen.

[BillyButcher]

Ik ben er sowieso niet zo happig op om gegevens te delen, maar bij abonnementen kan je niet anders

[Aardappel]

Soms kun je fictieve gegevens delen of ervoor kiezen géén abonnement te nemen.

[BillyButcher]

Soms kan dat en dat doe ik ook. Maar helaas als het een betaald iets is, moet je je gegevens delen

[SG]

Ken iemand die dat deed bij game service. Wachtword vergeten. En dan vergeten wat verzonnen credentials waren.
Dit is geen gemakkelijk probleem. En eigenlijk complex. En kost geld en tijd aan beide kanten. Een Pasport manager was er ook een keer gehackt , dus en dan lek je al heel veel . Dus dat bied ook geen 100% garantie. PW managers gebruik ik niet.

Het blijft trade of.
Dan heb je email adres waar vaak op basis van je naam.
En dus je naam bekend is. Aan de hand van email.

[nutty]

Daarom zou het eigenlijk verboden moeten worden om gegevens te verplichten die niet strict noodzakelijk zijn.

En als ze er toch om vragen en er gebeurt wat, dikke vergoeding betalen.

[bytemaster460]

Dat is eigenlijk al verboden. Er mogen alleen gegevens verplicht gesteld worden die nodig zijn voor het product of dienst. De rest is vrijwillig en met toestemming..

[Sebastian1313]

"Dat is de reden dat je niet al je gegevens zomaar uit handen moet geven. Of het nou een vreemd bedrijf is, en gerenommeerd bedrijf, of overheid."

En hoe open ik een rekening zonder mijn gegevens "uit handen te geven"? En hoe bestel en betaal ik iets online zonder mijn adresgegevens te overhandigen? En hoe sluit ik een verzekeraar voor mijn fiets zonder persoonsgegevens? Hoe regel ik mijn hypotheek zonder identiteitscontrole? Hoe schrijf ik mij in bij de gemeente zonder BSN? Hoe regel ik een energiecontract zonder gegevens mijn NAW en bankgegevens?


Ik leer heel graag bij, zeker over dit onderwerp, dus hoor het graag 👀

[Reactie gewijzigd door Sebastian1313 op 23 februari 2026 19:52]

[Aardappel]

Je geeft allemaal voorbeelden waar je bijna niet omheen kan.

Behalve dat je iets wat je online besteld misschien gewoon in een fysieke winkel gaat kopen, en betaald met contant geld.

Als je het niet begrepen dan zijn de zaken die ik bedoel: geef niet je postcode aan de caissière in de supermarkt (ookal willen ze alleen maar weten tot hoever hun reclameblaadje reikt). Neem ook geen klantenkaart. Doe niet mee met prijsvragen waar je een reep chocolade kunt winnen. Geen facebook, geen linkedin, of andere sociale media.
Je hoeft ook geen Netflix spotify of disney+ te streamen. Doe niet mee aan (anonieme) onderzoeken. Accepteer geen cookies.


Dat soort dingen.

[Sebastian1313]

Dat zijn andere voorbeelden idd. Maar ben dan ook iets genuanceerder dan is het ook duidelijker. Althans voor mij dan

Dank voor je reactie.

[Reactie gewijzigd door Sebastian1313 op 25 februari 2026 22:40]

[DaMonkey]

Ja, ze worden eindelijk gemeld!

[Niema]

Logischerwijs zou ik denken dat de ongeautouriseerde transacties zijn gedaan via een belletje met de klantenservice. Genoeg gegevens om een wachtwoord en email adres verandering aan te passen, maar plain text wachtwoord lek zal het welniet geweest zijn

[flexity]

Ik begin sceptisch te worden om paypal dan te gebruiken nog, dan maar overstappen naar creditcard voor online betalingen waar geen ideal o.i.d. aan gekoppeld is?

[nutty]

Sceptich was ik al (vooral wanwege een scenario zoals hier omschreven). Vandaar NO GO.

[flexity]

denk dat het toch maar met CC wordt

[boomer21]

Onlangs had ik ook iets gekocht en toen beweerde de verkoper dat het bedrag niet was ontvangen, terwijl het wel gewoon van mijn rekening was afgeschreven. Uiteindelijk heb ik via PayPal een terugbetaling aangevraagd en binnen een minuut stond het bedrag alweer op mijn rekening. Je kiest er misschien niet altijd bewust voor, maar soms is PayPal nu eenmaal de enige betaaloptie.

[hoosterb]

PayPal was ooit van Musk, je kunt je afvragen of de betonrot er dus niet al gewoon ingebakken zat vanaf het begin af aan ???

[mutley69]

Blij dat ik Paypal heb buitengesmeten.

[BastiaanBoontje]

Nadat ik alles hierboven heb gelezen:

To do: pay pal opzeggen.

[VOODOO_WILLIE]

Deze klanten zijn door PayPal terugbetaald en krijgen ook kredietmonitorings- en identiteitsbeschermingsdiensten via een derde partij.

Zodat je gegevens bij -nog- meer bedrijven liggen en gekoppeld worden (want f*ck privacy) en het risico daarnaast ook -nog groter- is dat het op straat komt te liggen.

Echt briljant ... "And nobody seems to notice, and nobody seems to care" ...