Yahoo! Nous avons perdu vos données! Il y a deux ans...

Publicité

Le géant du Web Yahoo a subi une énorme violation de données. La violation, qui a eu lieu en 2014, a entraîné la divulgation de 500 millions d'utilisateurs de Yahoo proposé à la vente sur le dark web 10 coins peu connus du Web profond que vous pourriez aimerLe dark web a une mauvaise réputation, mais il existe des sites Web dark vraiment utiles que vous voudrez peut-être consulter. Lire la suite .

L'ampleur du vol éclipse les autres violations de données récentes et majeures et place les pratiques de sécurité en place chez Yahoo sous le feu des projecteurs.

Qu'est-ce qui a été violé?

Yahoo a publié une déclaration confirmant et détaillant la faille de sécurité, affirmant que les données ont été volées par des pirates «parrainés par l'État». Des informations, notamment des noms, des adresses e-mail, des numéros de téléphone et des questions de sécurité, ont été volées à l'entreprise en 2014.

«Une enquête récente de Yahoo a confirmé qu'une copie de certaines informations de compte d'utilisateur avait été volée à notre réseau fin 2014 par ce que nous pensons être un acteur parrainé par l'État. Nous travaillons en étroite collaboration avec les autorités chargées de l'application des lois et informons les utilisateurs potentiellement concernés des moyens de sécuriser davantage leurs comptes. »

instagram viewer

Un petit point positif arrive en sachant que la violation ne contenait pas "de mots de passe non protégés, des données de carte de paiement ou des informations de compte bancaire". Néanmoins, les déclarations émises par Yahoo soulèveront d'autres questions des chercheurs en sécurité concernant le calendrier des événements, ainsi que les actions de l'entreprise dans les jours qui suivent la violation.

RUPTURE: 500 millions #Yahoo Comptes compromis en 2014 Hack. Dans d'autres nouvelles choquantes, 500 millions de personnes ont des comptes Yahoo.

- Ben Canner (@InfoSec_Review) 22 septembre 2016

Soulever des questions importantes

Au sommet de nombreux chercheurs en sécurité, la liste des questions sera simplement «pourquoi at-il fallu si longtemps pour confirmer un hack Pourquoi les entreprises gardant les infractions secrètes pourraient être une bonne choseAvec autant d'informations en ligne, nous nous inquiétons tous des failles de sécurité potentielles. Mais ces violations pourraient être gardées secrètes aux États-Unis afin de vous protéger. Cela semble fou, alors que se passe-t-il? Lire la suite de cette échelle? " Cela se ramène facilement à d'autres questions également. Pourquoi Yahoo a-t-il pris autant de temps pour informer ses utilisateurs de la violation?

Yahoo envoie maintenant des notifications de violation aux clients: pic.twitter.com/AjbDJYQCIH

- Chasse à Troy (@troyhunt) 23 septembre 2016

La notion d'attaque parrainée par l'État est également déroutante. Jusqu'à présent, Yahoo n'a produit aucune preuve liant la violation à un acteur de l'État-nation, bien que trois responsables du renseignement américain - qui ont refusé d'être identifiés par leur nom - confirmé à Reuters:

«… Ils pensaient que l'attaque était parrainée par l'État en raison de sa ressemblance avec les hacks précédents remontant aux agences de renseignement russes ou aux pirates agissant à leur direction.»

Même si la violation ressemblait aux précédentes attaques des États-nations Lorsque les gouvernements attaquent: des logiciels malveillants des États-nations sont exposésUne cyberguerre se déroule actuellement, cachée par Internet, ses résultats sont rarement observés. Mais qui sont les acteurs de ce théâtre de guerre et quelles sont leurs armes? Lire la suite , ces violations n'entraînent généralement pas la divulgation de données d'utilisateur privé. Rarement trouve encore ceux informations d'identification annoncées pour la vente sur le dark web Voici combien votre identité pourrait valoir sur le Dark WebIl est inconfortable de vous considérer comme une marchandise, mais toutes vos informations personnelles, du nom et de l'adresse aux détails du compte bancaire, valent quelque chose pour les criminels en ligne. Combien valez-vous? Lire la suite .

Ajout d'une intrigue supplémentaire est l'identité de la personne qui vend la partie de la violation de données. Un utilisateur nommé «Peace of Mind», qui avait également vendu des décharges de données sur les violations de MySpace et LinkedIn, vantait activement les données.

Jeremiah Grossman, responsable de la stratégie de sécurité chez SentinelOne, m'a dit "Bien que nous sachions que les informations ont été volées à la fin de 2014, nous n'avons aucune indication quant à la date à laquelle Yahoo a appris l'existence de cette violation. C'est un détail important de l'histoire. »

Grossman pense qu'étant donné que Peace of Mind était un «pirate de profit», il est très peu probable qu'il ait reçu le parrainage de l'État; par conséquent, "cela signifie qu'il est possible que nous examinions deux violations différentes de Yahoo avec deux groupes de piratage différents dans leur système."

«Le grand nombre de personnes touchées par cette cyberattaque est stupéfiant et montre à quel point les conséquences d'un piratage de sécurité peuvent être graves… Nous Je ne connais pas encore tous les détails de la façon dont ce piratage s'est produit, mais il y a ici un message sérieux et important pour les entreprises qui acquièrent et gèrent des Les données. Les informations personnelles des personnes doivent être protégées en toute sécurité sous clé et clé - et cette clé doit être impossible pour les pirates à trouver. " - Elizabeth Denham, commissaire à l'information du Royaume-Uni

À quel point est-ce grave?

La déclaration de Yahoo a confirmé que la grande majorité des mots de passe volés ont été hachés à l'aide de bcrypt. Le hachage est le processus de transformation d'un mot de passe en une «empreinte digitale» de longueur fixe qui est rappelée et vérifiée lorsqu'un utilisateur tente de se connecter. Il s'agit d'une méthode de base pour protéger les informations des utilisateurs Chaque site Web sécurisé le fait avec votre mot de passeVous êtes-vous déjà demandé comment les sites Web protègent votre mot de passe contre les violations de données? Lire la suite , pourtant encore négligé par certains sites Web Les 7 tactiques les plus courantes utilisées pour pirater les mots de passeLorsque vous entendez «violation de la sécurité», qu'est-ce qui vous vient à l'esprit? Un pirate malveillant? Un enfant vivant au sous-sol? La réalité est que tout ce qui est nécessaire est un mot de passe, et les pirates ont 7 façons d'obtenir le vôtre. Lire la suite .

Bcrypt est considéré comme une méthode sécurisée de hachage les hachis sont également «salés» Comment les sites Web sécurisent-ils vos mots de passe?Avec les violations régulières de la sécurité en ligne signalées, vous êtes sans aucun doute préoccupé par la façon dont les sites Web traitent votre mot de passe. En fait, pour la tranquillité d'esprit, c'est quelque chose que tout le monde doit savoir… Lire la suite un processus où chaque hachage sera différent, même s'il protège le même mot de passe.

Les mots de passe sont irritants mais faciles à changer; le nom de jeune fille d'une mère ne l'est pas. Les pirates ont également violé les questions de sécurité en clair. Les questions de sécurité sont depuis longtemps examinées de près Comment créer une question de sécurité que personne d'autre ne peut devinerCes dernières semaines, j'ai beaucoup écrit sur la façon de rendre les comptes en ligne récupérables. Une option de sécurité typique consiste à configurer une question de sécurité. Bien que cela offre potentiellement un moyen rapide et facile de ... Lire la suite pour leur rôle dans l'identification des comptes d'utilisateurs dans les violations précédentes, mais ils constituent toujours une caractéristique principale de la plupart des systèmes de connexion de compte d'utilisateur.

En conséquence, Yahoo a envoyé à tous ses utilisateurs un message de réinitialisation de mot de passe. Ils encouragent leurs utilisateurs à:

• Modifiez votre mot de passe et vos questions et réponses de sécurité pour tout autre compte sur lequel vous utilisez les mêmes informations d'identification ou des identifiants similaires à ceux utilisés pour votre compte Yahoo.
• Examinez vos comptes pour détecter toute activité suspecte.
• Soyez prudent vis-à-vis de toute communication non sollicitée qui vous demande vos informations personnelles ou vous renvoie vers une page Web demandant des informations personnelles.
• Évitez de cliquer sur des liens ou de télécharger des pièces jointes à partir d'e-mails suspects.

Nous ne saurions trop insister sur la première suggestion. Nous conseillons également à nos lecteurs de prendre en considération d'autres sites avec lesquels ils peuvent avoir utilisé leurs identifiants de connexion, tels que le service de stockage de photos Flickr ou le site de bookmarking social Del.icio.us.

Vous avez peut-être créé un compte Yahoo sans vous rendre compte qu'il n'était pas sécurisé.

Une grande vieille brèche

Yahoo maintenant prend une couronne indésirable Ce que vous devez savoir sur la fuite massive de comptes LinkedInUn pirate vend 117 millions d'informations d'identification piratées sur le Dark Web pour environ 2200 $ en Bitcoin. Kevin Shabazi, PDG et fondateur de LogMeOnce, nous aide à comprendre exactement ce qui est en danger. Lire la suite : la plus grande violation de données d'entreprise de l'histoire.

• Yahoo - 500 millions d'informations d'identification d'utilisateur
• MySpace - 359m
• LinkedIn - 164m
• Adobe - 152m
• Badoo - 112m

En juillet 2016, le géant américain des télécommunications Verizon a procédé à l'acquisition de 5 milliards de dollars des activités Internet de Yahoo. Cependant, cette violation ne devrait pas affecter la prise de contrôle.

Déclaration de Verizon cet après-midi concernant l'incident de sécurité de Yahoo. $ VZpic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 22 septembre 2016

Nos conseils restent les mêmes que pour toute violation de données majeure. Réinitialisez vos mots de passe. Examinez également vos e-mails et SMS au cours des semaines et des mois à venir. Se souvenir de ne réutilisez jamais les informations d'identification de votre compte.

Réutilisation des informations d'identification; pas même une fois.

Votre compte a-t-il été compromis? Êtes-vous surpris du temps qu'il a fallu à Yahoo pour agir? Quel service majeur sera violé ensuite? Faites-nous savoir vos pensées ci-dessous!