Yahoo! Abbiamo perso i tuoi dati! Due anni fa...

Annuncio pubblicitario

Il colosso del web Yahoo ha subito un'enorme violazione dei dati. La violazione, avvenuta nel 2014, ha portato all'informazione di 500 milioni di utenti Yahoo offerto in vendita sul web oscuro 10 angoli poco conosciuti del Deep Web che potresti davvero apprezzareIl web oscuro ha una cattiva reputazione, ma ci sono alcuni siti web oscuri davvero utili che potresti voler controllare. Leggi di più .

La portata del furto sminuisce altre recenti e importanti violazioni dei dati e pone saldamente sotto i riflettori le pratiche di sicurezza di Yahoo.

Cosa è stato violato?

Yahoo ha rilasciato una dichiarazione confermare e dettagliare la violazione della sicurezza, affermando che i dati sono stati rubati da hacker "sponsorizzati dallo stato". Informazioni, tra cui nomi, indirizzi e-mail, numeri di telefono e domande di sicurezza sono state rubate dalla società nel 2014.

"Una recente indagine di Yahoo ha confermato che una copia di alcune informazioni sull'account utente è stata rubata dalla nostra rete alla fine del 2014 da quello che crediamo sia un attore sponsorizzato dallo stato. Stiamo lavorando a stretto contatto con le autorità di contrasto e notificando agli utenti potenzialmente interessati i modi in cui possono proteggere ulteriormente i loro account ".

instagram viewer

Un piccolo positivo arriva nella consapevolezza che la violazione non conteneva "password non protette, dati della carta di pagamento o informazioni sul conto bancario". Tuttavia, il le dichiarazioni rilasciate da Yahoo solleveranno ulteriori domande da parte dei ricercatori della sicurezza in merito alla cronologia degli eventi, nonché alle azioni della società nei giorni seguenti la violazione.

ROTTURA: 500 milioni #Yahoo Conti compromessi nel 2014 Hack. In altre notizie scioccanti, 500 milioni di persone hanno account Yahoo.

- Ben Canner (@InfoSec_Review) 22 settembre 2016

Sollevare domande importanti

In cima alla lista di molte domande dei ricercatori sulla sicurezza sarà semplicemente "perché ci è voluto così tanto tempo per confermare un hack Perché le aziende che mantengono segrete le violazioni potrebbero essere una buona cosaCon così tante informazioni online, siamo tutti preoccupati per potenziali violazioni della sicurezza. Ma queste violazioni potrebbero essere tenute segrete negli Stati Uniti per proteggerti. Sembra folle, quindi cosa sta succedendo? Leggi di più di questa scala? " Questo facilmente segue anche altre domande. Perché Yahoo ha impiegato così tanto tempo per informare i propri utenti della violazione?

Yahoo sta ora inviando notifiche di violazione ai clienti: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt) 23 settembre 2016

Anche l'idea di un attacco sponsorizzato dallo stato è sconcertante. Fino ad ora, Yahoo non ha prodotto alcuna prova che colleghi la violazione a un attore dello stato-nazione, sebbene tre funzionari dell'intelligence degli Stati Uniti - che hanno rifiutato di essere identificati per nome - confermato a Reuters:

"... credevano che l'attacco fosse sponsorizzato dallo stato a causa della sua somiglianza con i precedenti hack tracciati da agenzie di intelligence russe o hacker che agivano nella loro direzione."

Anche se la violazione somigliava ai precedenti attacchi dello stato-nazione Quando i governi attaccano: malware nazionale-stato espostoIn questo momento si sta verificando una guerra informatica, nascosta da Internet, i cui risultati sono raramente osservati. Ma chi sono i giocatori in questo teatro di guerra e quali sono le loro armi? Leggi di più , tali violazioni in genere non comportano il rilascio di dati di utenti privati. Rarer sta ancora trovando quelli credenziali pubblicizzate per la vendita sul Web oscuro Ecco quanto potrebbe valere la tua identità sul Dark WebÈ scomodo pensare a te stesso come una merce, ma tutti i tuoi dati personali, dal nome e indirizzo ai dettagli del conto bancario, valgono qualcosa per i criminali online. quanto vali? Leggi di più .

L'aggiunta di ulteriori intrighi è l'identità della singola parte di vendita della violazione dei dati. Un utente di nome "Peace of Mind", che aveva anche venduto dump di dati delle violazioni di MySpace e LinkedIn, stava attivamente propagandando i dati.

Jeremiah Grossman, responsabile della strategia di sicurezza di SentinelOne, disse "Sebbene sappiamo che le informazioni sono state rubate alla fine del 2014, non abbiamo alcuna indicazione su quando Yahoo abbia appreso per la prima volta di questa violazione. Questo è un dettaglio importante nella storia. "

Grossman ritiene che, poiché Peace of Mind era un "hacker profittatore", sarebbe altamente improbabile che ricevessero sponsorizzazioni statali; di conseguenza, "questo significa che è possibile che stiamo esaminando due diverse violazioni di Yahoo con due diversi gruppi di hacking nel loro sistema".

"Il vasto numero di persone colpite da questo attacco informatico è sconcertante e dimostra quanto possano essere gravi le conseguenze di un attacco di sicurezza... non conosco ancora tutti i dettagli di come è successo questo hack, ma qui c'è un messaggio che fa riflettere e importante per le aziende che acquisiscono e gestiscono personale dati. Le informazioni personali delle persone devono essere protette in modo sicuro sotto chiave, e tale chiave deve essere impossibile da trovare per gli hacker ". - Elizabeth Denham, commissaria per le informazioni del Regno Unito

Quanto è grave?

La dichiarazione di Yahoo ha confermato che la stragrande maggioranza delle password rubate è stata sottoposta a hash usando bcrypt. L'hashing è il processo di trasformazione di una password in una "impronta digitale" di lunghezza fissa che viene richiamata e verificata quando un utente tenta di accedere. È un metodo di base per proteggere le informazioni dell'utente Ogni sito Web sicuro lo fa con la tua passwordVi siete mai chiesti in che modo i siti Web proteggono la vostra password dalle violazioni dei dati? Leggi di più , eppure lo è ancora trascurato da alcuni siti Web Le 7 tattiche più comuni utilizzate per hackerare le passwordQuando senti "violazione della sicurezza", cosa ti viene in mente? Un hacker malevolo? Qualche ragazzino nel seminterrato? La realtà è che tutto ciò che serve è una password e gli hacker hanno 7 modi per ottenere la tua. Leggi di più .

Bcrypt è considerato un metodo sicuro di hashing come gli hash sono anche "salati" In che modo i siti Web proteggono le password?Con le regolari violazioni della sicurezza online segnalate, sei senza dubbio preoccupato di come i siti web si occupano della tua password. In effetti, per la massima tranquillità, questo è qualcosa che tutti devono sapere ... Leggi di più un processo in cui ogni hash sarà diverso, anche se protegge la stessa password.

Le password sono irritanti ma facili da cambiare; il cognome da nubile di una madre non lo è. Gli hacker hanno inoltre violato le domande di sicurezza in chiaro. Le domande di sicurezza sono state a lungo sotto esame Come creare una domanda di sicurezza che nessun altro può indovinareNelle ultime settimane ho scritto molto su come rendere recuperabili gli account online. Un'opzione di sicurezza tipica è l'impostazione di una domanda di sicurezza. Mentre questo potenzialmente offre un modo semplice e veloce per ... Leggi di più per il loro ruolo nell'identificare gli account utente nelle violazioni precedenti, eppure costituiscono ancora una caratteristica principale della maggior parte dei sistemi di accesso agli account utente.

Di conseguenza, Yahoo ha inviato a tutti i propri utenti un messaggio di reimpostazione della password. Incoraggiano i loro utenti a:

• Cambia la tua password e domande di sicurezza e risposte per qualsiasi altro account su cui usi le stesse o simili credenziali di quelli usati per il tuo account Yahoo.
• Controlla i tuoi account per attività sospette.
• Prestare attenzione alle comunicazioni indesiderate che richiedono informazioni personali o fare riferimento a una pagina Web che richiede informazioni personali.
• Evita di fare clic sui collegamenti o di scaricare allegati da e-mail sospette.

Non possiamo sottolineare abbastanza il primo suggerimento. Consigliamo inoltre ai nostri lettori di considerare altri siti con cui potrebbero aver utilizzato le proprie credenziali di accesso, come il servizio di archiviazione di foto Flickr o il sito di social bookmarking Del.icio.us.

Potresti aver creato un account Yahoo senza rendertene conto che non era sicuro.

Una grande vecchia breccia

Yahoo ora prende una corona indesiderata Quello che devi sapere sulla perdita di account di massa di LinkedInUn hacker sta vendendo 117 milioni di credenziali di LinkedIn hackerate sul web Dark per circa $ 2,200 in Bitcoin. Kevin Shabazi, CEO e fondatore di LogMeOnce, ci aiuta a capire esattamente ciò che è a rischio. Leggi di più : la più grande violazione dei dati aziendali nella storia.

• Yahoo - 500 milioni di credenziali utente
• MySpace - 359m
• LinkedIn - 164m
• Adobe - 152m
• Badoo - 112m

Nel luglio 2016, il gigante delle telecomunicazioni degli Stati Uniti Verizon ha effettuato l'acquisizione di $ 5 miliardi del business internet di Yahoo. Tuttavia, questa violazione non dovrebbe influire sull'acquisizione.

Dichiarazione di Verizon questo pomeriggio sull'incidente di sicurezza di Yahoo. $ VZpic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 22 settembre 2016

Il nostro consiglio rimane lo stesso di qualsiasi grave violazione dei dati. Reimposta le tue password. Inoltre, controlla le tue e-mail e messaggi di testo nelle prossime settimane e mesi. Ricordati di non riutilizzare mai le credenziali del tuo account.

Riutilizzo delle credenziali; neanche una volta.

Il tuo account è stato compromesso? Sei sorpreso da quanto tempo ha impiegato Yahoo ad agire? Quale servizio principale verrà violato successivamente? Facci sapere i tuoi pensieri qui sotto!