Yahoo! Abbiamo perso i tuoi dati! Due anni fa…

Il gigante del web Yahoo ha subito un'enorme violazione dei dati. La violazione, avvenuta nel 2014, ha portato alla notizia che 500 milioni di utenti di Yahoo sono stati messi in vendita sul web oscuro 6 angoli poco conosciuti del Web profondo in realtà potrebbero piacerti 6 angoli poco conosciuti del Web profondo che potresti A dire il vero, il deep web ha una cattiva reputazione - quasi tutte le cose brutte che puoi pensare sono disponibili qui. Ma ci sono anche alcune cose davvero grandi che potresti voler controllare. Leggi di più .

La portata del furto fa impallidire altre recenti e importanti violazioni dei dati e pone saldamente sotto i riflettori le pratiche di sicurezza in atto su Yahoo.

Ciò che è stato infranto?

Yahoo ha rilasciato una dichiarazione che conferma e dettaglia la violazione della sicurezza, affermando che i dati sono stati rubati “sponsorizzata dallo stato-” hacker. Le informazioni, inclusi nomi, indirizzi e-mail, numeri di telefono e domande di sicurezza sono state rubate dalla società nel 2014.

“Una recente indagine di Yahoo ha confermato che una copia di alcune informazioni sull'account utente è stata rubata dalla nostra rete alla fine del 2014 da quello che riteniamo sia un attore sponsorizzato dallo stato. Stiamo lavorando a stretto contatto con le autorità di contrasto e informiamo gli utenti potenzialmente interessati di come possono proteggere ulteriormente i loro account.”

Un piccolo positivo arriva nella consapevolezza che la violazione non contiene “password non protette, dati della carta di pagamento o informazioni sul conto bancario.” Ciononostante, le dichiarazioni rilasciate da Yahoo solleveranno ulteriori domande da parte dei ricercatori di sicurezza riguardo alla tempistica degli eventi, così come le azioni della società nei giorni successivi alla violazione.

ROTTURA: 500 milioni di account #Yahoo compromessi nel 2014 Hack. In altre notizie scioccanti, 500 milioni di persone hanno account Yahoo.

- Ben Canner (@InfoSec_Review), 22 settembre 2016

Sollevare domande importanti

Sostanzialmente in cima alla lista di domande dei ricercatori di sicurezza sarà semplicemente “Perché ci è voluto così tanto tempo per confermare un trucco Perché le aziende che violano il segreto potrebbero essere una buona cosa Perché le aziende che tengono il segreto sulle violazioni potrebbe essere una buona cosa Con così tante informazioni online, tutti noi ci preoccupiamo di potenziali violazioni della sicurezza. Ma queste violazioni potrebbero essere tenute segrete negli Stati Uniti per proteggerti. Sembra pazzesco, quindi cosa sta succedendo? Leggi di più su questa scala?” Questo facilmente passa anche in altre domande. Perché Yahoo impiegò così tanto tempo per informare i suoi utenti della violazione?

Yahoo sta inviando notifiche di violazione ai clienti: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt), 23 settembre 2016

Anche la nozione di attacco sponsorizzato dallo stato è sconcertante. Ad oggi, Yahoo non ha prodotto alcuna prova che colleghi la violazione a un attore di uno stato nazione, sebbene tre funzionari dei servizi segreti degli Stati Uniti - che hanno rifiutato di essere identificati per nome - abbiano confermato a Reuters:

“... credevano che l'attacco fosse sponsorizzato dallo stato a causa della sua somiglianza con precedenti hack tracciati da agenzie di intelligence russe o hacker che agivano nella loro direzione.”

Anche se la violazione avesse una somiglianza con i precedenti attacchi dello stato-nazione Quando i governi attaccano: il malware delle nazioni esposte quando i governi attaccano: il malware delle nazioni esposte è in atto Un cyberwar sta accadendo proprio ora, nascosto da internet, i suoi risultati sono raramente osservati. Ma chi sono i giocatori in questo teatro di guerra e quali sono le loro armi? Per saperne di più, tali violazioni in genere non comportano il rilascio di dati utente privati. Rarer sta ancora cercando quelle credenziali pubblicizzate per la vendita sul web oscuro Ecco quanto può valere la tua identità sul Web oscuro Ecco quanto può valere la tua identità sul Web oscuro È scomodo pensare a te stesso come a una merce, ma a tutte i tuoi dati personali, dal nome e indirizzo ai dettagli del conto bancario, valgono qualcosa per i criminali online. quanto vali? Leggi di più .

L'aggiunta di ulteriori intrighi è l'identità della singola parte venditrice della violazione dei dati. Un utente chiamato “Pace della mente,” che aveva anche venduto i dump di dati delle violazioni di MySpace e LinkedIn, stava attivamente pubblicizzando i dati.

Jeremiah Grossman, capo della strategia di sicurezza di SentinelOne, ha dichiarato “Mentre sappiamo che le informazioni sono state rubate alla fine del 2014, non abbiamo alcuna indicazione su quando Yahoo ha appreso per la prima volta di questa violazione. Questo è un dettaglio importante nella storia.”

Grossman crede che Peace of Mind fosse un “hacker profittatore” sarebbe altamente improbabile ricevere una sponsorizzazione statale; conseguentemente, “questo significa che è possibile che stiamo esaminando due diverse violazioni di Yahoo con due diversi gruppi di hacking nel loro sistema.”

“Il vasto numero di persone colpite da questo attacco informatico è sbalorditivo e dimostra quanto gravi possano essere le conseguenze di un attacco di sicurezza ... Non sappiamo ancora tutti i dettagli di come è successo questo hack, ma qui c'è un messaggio che fa riflettere per le aziende che acquisiscono e gestiscono dati personali. Le informazioni personali delle persone devono essere protette in modo sicuro sotto chiave e chiave e questa chiave deve essere impossibile da trovare per gli hacker.” - Commissario per l'informazione del Regno Unito, Elizabeth Denham

Quanto è grave questo?

La dichiarazione di Yahoo ha confermato che la stragrande maggioranza delle password rubate è stata sottoposta a hash tramite bcrypt. Hashing è il processo di trasformare una password in una lunghezza fissa “impronta digitale” che viene richiamato e controllato quando un utente tenta di accedere. È un metodo di base per proteggere le informazioni degli utenti Ogni sito Web sicuro fa questo con la tua password Ogni sito sicuro fa questo con la tua password Vi siete mai chiesti in che modo i siti Web proteggono la vostra password da violazioni dei dati? Per saperne di più, è ancora trascurato da alcuni siti Web Le 7 tattiche più comuni utilizzate per hackerare le password Le 7 tattiche più comuni utilizzate per hackerare le password Quando senti "breccia nella sicurezza", cosa ti viene in mente? Un hacker malevolo? Qualche ragazzo che abita nel seminterrato? La realtà è che tutto ciò che serve è una password e gli hacker hanno 7 modi per ottenere il tuo. Leggi di più .

Bcrypt è considerato un metodo sicuro di hashing come anche gli hash “salato,” In che modo i siti web proteggono le tue password? In che modo i siti web proteggono le tue password? Con regolari violazioni della sicurezza online segnalate, sei indubbiamente preoccupato di come i siti web si occupano della tua password. In effetti, per la pace della mente, questo è qualcosa che tutti devono sapere ... Leggi di più un processo in cui ogni hash sarà diverso, anche se sta proteggendo la stessa password.

Le password sono irritanti ma facili da cambiare; il nome da nubile di una madre non lo è. Gli hacker hanno anche violato le domande di sicurezza in chiaro. Le domande di sicurezza sono da tempo sotto esame Come creare una domanda di sicurezza che nessun altro può indovinare come creare una domanda di sicurezza che nessuno può ancora indovinare Nelle scorse settimane ho scritto molte cose su come rendere recuperabili gli account online. Una tipica opzione di sicurezza sta configurando una domanda di sicurezza. Anche se questo fornisce potenzialmente un modo semplice e veloce per ... Leggi di più per il loro ruolo nell'identificazione degli account utente nelle violazioni precedenti, eppure costituiscono ancora una caratteristica primaria della maggior parte dei sistemi di accesso degli account degli utenti.

Di conseguenza, Yahoo ha inviato a tutti i propri utenti un messaggio di reimpostazione della password. Incoraggiano i loro utenti a:

• Modifica la password e le domande e le risposte di sicurezza per qualsiasi altro account su cui utilizzi le stesse credenziali o le stesse credenziali utilizzate per il tuo account Yahoo.
• Controlla i tuoi account per attività sospette.
• Siate cauti in caso di comunicazioni indesiderate che richiedono le vostre informazioni personali o vi indirizzano a una pagina Web che richiede informazioni personali.
• Evita di fare clic sui collegamenti o di scaricare allegati da e-mail sospette.

Non possiamo enfatizzare abbastanza il primo suggerimento. Consigliamo inoltre ai nostri lettori di considerare altri siti con cui potrebbero aver utilizzato le loro credenziali di accesso, come il servizio di fotoritocco Flickr o il sito di social bookmarking Del.icio.us.

Potresti aver creato un account Yahoo senza rendertene conto che non era sicuro.

Una grande vecchia violazione

Yahoo ora prende una corona indesiderata Cosa c'è da sapere sui grandi account di LinkedIn Perdita Cosa c'è da sapere sui grandi account di LinkedIn Perdita Un hacker sta vendendo 117 milioni di credenziali di LinkedIn hackerate sul web Dark per circa $ 2.200 in Bitcoin. Kevin Shabazi, CEO e fondatore di LogMeOnce, ci aiuta a capire cosa è a rischio. Per saperne di più: la più grande violazione dei dati aziendali nella storia.

• Yahoo - 500 milioni di credenziali utente
• MySpace - 359m
• LinkedIn - 164m
• Adobe - 152m
• Badoo - 112m

A luglio 2016, il gigante delle telecomunicazioni americano Verizon ha effettuato l'acquisizione da 5 miliardi di dollari del settore Internet di Yahoo. Tuttavia, questa violazione non dovrebbe influire sull'acquisizione.

Dichiarazione di Verizon questo pomeriggio riguardante l'incidente di sicurezza di Yahoo. $ VZ pic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar), 22 settembre 2016

Il nostro consiglio rimane lo stesso di qualsiasi grave violazione dei dati. Reimposta le tue password. Inoltre, controlla le e-mail e i messaggi di testo nelle prossime settimane e mesi. Ricordati di mai riutilizzare le credenziali dell'account.

Riutilizzo delle credenziali; neanche una volta.

Il tuo account è stato compromesso? Sei sorpreso del tempo impiegato da Yahoo per agire? Quale principale servizio verrà superato successivamente? Fateci sapere i vostri pensieri qui sotto!

Scopri di più su: hacking, sicurezza online, password.