Yahoo! Nous avons perdu vos données! Il y a deux ans…

Le géant du Web Yahoo a subi une énorme violation de données. La violation, qui a eu lieu en 2014, a abouti à la vente d'informations sur le web sombre à 500 millions d'utilisateurs de Yahoo. 6 coins inconnus du Web profond que vous pourriez réellement aimer 6 coins inconnus du Web profond que vous pourriez En réalité, le web profond a une mauvaise réputation - à peu près toutes les mauvaises choses auxquelles vous pouvez penser sont disponibles. Mais il y a aussi de très bonnes choses à vérifier. Lire la suite .

L'ampleur du vol dépasse de loin les violations récentes et majeures des données et place fermement les pratiques de sécurité en place chez Yahoo sous le feu des projecteurs.

Ce qui a été violé?

Yahoo a publié une déclaration confirmant et détaillant la violation de la sécurité, affirmant que les données avaient été volées par “parrainé par l'Etat” les hackers. Des informations, notamment des noms, des adresses électroniques, des numéros de téléphone et des questions de sécurité ont été volées à l'entreprise en 2014.

“Une enquête récente menée par Yahoo a confirmé qu'une copie de certaines informations de compte d'utilisateur avait été volée de notre réseau à la fin de 2014 par ce que nous croyons être un acteur parrainé par l'État. Nous travaillons en étroite collaboration avec les autorités répressives et informons les utilisateurs potentiellement concernés des moyens de sécuriser davantage leurs comptes..”

Un petit positif arrive en sachant que la brèche ne contenait pas “mots de passe non protégés, données de carte de paiement ou informations de compte bancaire.” Néanmoins, les déclarations publiées par Yahoo vont poser de nouvelles questions aux chercheurs en sécurité concernant la chronologie des événements, ainsi que les actions de l'entreprise dans les jours suivant la violation..

RUPTURE: 500 millions de comptes #Yahoo compromis en 2014 Hack. Autre nouvelle choquante, 500 millions de personnes ont un compte Yahoo.

- Ben Canner (@InfoSec_Review) 22 septembre 2016

Poser des questions importantes

La liste des questions de nombreux chercheurs en sécurité va tout simplement être résolue. “Pourquoi a-t-il fallu si longtemps pour confirmer un piratage? Pourquoi les entreprises qui gardent un secret en secret pourraient-elles être bonnes? Pourquoi les entreprises qui gardent le secret? pourraient-elles être utiles? Avec autant d'informations en ligne, nous nous inquiétons tous des atteintes potentielles à la sécurité. Mais ces violations pourraient être tenues secrètes aux États-Unis afin de vous protéger. Cela semble fou, alors qu'est-ce qui se passe? Lire plus de cette échelle?” Cela nous mène facilement à d’autres questions. Pourquoi Yahoo a-t-il mis si longtemps à informer ses utilisateurs de la violation??

Yahoo envoie maintenant des notifications de violation aux clients: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt) 23 septembre 2016

La notion d'une attaque parrainée par l'État est également déconcertante. À ce jour, Yahoo n’a produit aucune preuve établissant un lien entre l’infraction et un acteur de l’État-nation, bien que trois responsables américains du renseignement, qui ont refusé de s’identifier nommément, ont confirmé à Reuters:

“… Ils pensaient que l'attaque était parrainée par l'État en raison de sa ressemblance avec les précédents hacks imputés aux services de renseignement russes ou aux pirates informatiques agissant sous leur direction.”

Même si la violation ressemblait à de précédentes attaques d'États-nations. Lorsque les gouvernements attaquent: les logiciels malveillants des États-nations sont exposés. Lorsque les gouvernements assaillent: les logiciels malveillants des États-nations, une cyber-guerre se déroule actuellement. Cachée par Internet, ses résultats sont rarement observés. Mais qui sont les acteurs de ce théâtre de guerre et quelles sont leurs armes? En savoir plus, ces violations n'entraînent généralement pas la publication de données utilisateur privées. Il est encore plus rare de trouver les références annoncées pour la vente sur le Web sombre. Voici combien votre identité pourrait valoir sur le Web sombre. Voici quelle valeur votre identité pourrait valoir sur le Web sombre Il est inconfortable de se considérer comme une marchandise, mais vos données personnelles, du nom et de l'adresse aux coordonnées du compte bancaire, valent quelque chose pour les criminels en ligne. Combien valez-vous? Lire la suite .

L'identité de l'individu qui vend une partie de la violation de données est un intrigue supplémentaire. Un utilisateur nommé “Tranquillité d'esprit,” qui avait également vendu des décharges de données des violations MySpace et LinkedIn, vantait activement les données.

Jeremiah Grossman, responsable de la stratégie de sécurité chez SentinelOne, a déclaré “Bien que nous sachions que les informations ont été volées à la fin de 2014, nous ne savons pas quand Yahoo a appris l'existence de cette violation. C'est un détail important dans l'histoire.”

Grossman croit que Peace of Mind était une “pirate profiteur” il est très peu probable qu'ils aient reçu le parrainage de l'Etat; par conséquent, “cela signifie qu'il est possible que nous examinions deux violations différentes de Yahoo avec deux groupes de piratage différents dans leur système.”

“Le grand nombre de personnes touchées par cette cyberattaque est stupéfiant et démontre à quel point les conséquences d'un piratage de sécurité peuvent être graves… Nous ne savons pas encore comment ce piratage s'est passé, mais il y a un message important et qui fait réfléchir ici pour les entreprises qui acquièrent et traitent des données personnelles. Les informations personnelles des personnes doivent être protégées de manière sécurisée sous clé - et cette clé doit être impossible à retrouver pour les pirates.” - Commissaire britannique à l'information, Elizabeth Denham

Comme c'est grave?

La déclaration de Yahoo a confirmé que la grande majorité des mots de passe volés étaient hachés à l'aide de bcrypt. Le hachage consiste à transformer un mot de passe en longueur fixe. “empreinte digitale” qui est rappelé et vérifié lorsqu'un utilisateur tente de se connecter. C'est une méthode de base pour protéger les informations des utilisateurs. Chaque site Web sécurisé le fait avec votre mot de passe Chaque site Web sécurisé le fait avec votre mot de passe Vous êtes-vous déjà demandé comment les sites Web protègent votre mot de passe contre les violations de données? En savoir plus, mais certains sites Web l'oublient encore. Les 7 tactiques les plus courantes utilisées pour pirater les mots de passe Les 7 tactiques les plus courantes utilisées pour pirater les mots de passe Lorsque vous entendez une "atteinte à la sécurité", qu'est-ce qui vous vient à l'esprit? Un pirate malveillant? Un enfant du sous-sol? En réalité, tout ce dont vous avez besoin est d’un mot de passe et les pirates informatiques ont 7 moyens d’obtenir le vôtre. Lire la suite .

Bcrypt est considéré comme une méthode de hachage sécurisée car les hachages sont également “salé,” Comment les sites Web maintiennent-ils vos mots de passe en sécurité? Comment les sites Web maintiennent-ils vos mots de passe en sécurité? Avec les violations régulières de la sécurité en ligne signalées, vous êtes sans aucun doute préoccupé par le comportement des sites Web après votre mot de passe. En fait, pour la tranquillité d’esprit, c’est quelque chose que tout le monde a besoin de savoir… Plus, c'est un processus où chaque hachage sera différent, même s'il protège le même mot de passe.

Les mots de passe sont irritants mais faciles à changer. le nom de jeune fille d'une mère n'est pas. Les pirates ont également violé des questions de sécurité en texte brut. Les questions de sécurité examinées depuis longtemps Comment créer une question de sécurité que personne ne peut deviner? Comment créer une question de sécurité que personne ne peut deviner Ces dernières semaines, j'ai beaucoup écrit sur la façon de rendre des comptes en ligne recouvrables. Une option de sécurité typique consiste à configurer une question de sécurité. Bien que cela offre potentiellement un moyen simple et rapide de… Lire la suite pour leur rôle d'identification des comptes d'utilisateur lors de violations précédentes, mais ils constituent toujours une fonctionnalité principale de la plupart des systèmes de connexion de compte d'utilisateur.

En conséquence, Yahoo a envoyé à tous ses utilisateurs un message de réinitialisation du mot de passe. Ils encouragent leurs utilisateurs à:

• Modifiez votre mot de passe ainsi que vos questions et réponses de sécurité pour tout autre compte sur lequel vous utilisez des informations d'identification identiques ou similaires à celles utilisées pour votre compte Yahoo..
• Examinez vos comptes pour détecter toute activité suspecte.
• Méfiez-vous des communications non sollicitées qui vous demandent des informations personnelles ou vous dirigez vers une page Web vous demandant des informations personnelles..
• Évitez de cliquer sur des liens ou de télécharger des pièces jointes à partir d'e-mails suspects.

Nous ne pouvons pas assez insister sur la première suggestion. Nous conseillons également à nos lecteurs d’envisager d’autres sites sur lesquels ils pourraient avoir utilisé leurs identifiants de connexion, tels que le service de stockage de photos Flickr ou le site de bookmarking social Del.icio.us..

Vous avez peut-être créé un compte Yahoo sans vous rendre compte qu'il n'était pas sécurisé.

Une grande vieille brèche

Yahoo prend maintenant une couronne indésirable Ce que vous devez savoir sur la fuite massive de comptes LinkedIn Ce que vous devez savoir sur la fuite massive de comptes LinkedIn Un pirate vend 117 millions d’informations d’identité LinkedIn piratées sur le Web sombre pour environ 2 200 $ en Bitcoin. Kevin Shabazi, PDG et fondateur de LogMeOnce, nous aide à comprendre exactement ce qui est à risque. Lire la suite: la plus grande violation de données d'entreprise de l'histoire.

• Yahoo - 500 millions de références utilisateur
• MySpace - 359m
• LinkedIn - 164m
• Adobe - 152m
• Badoo - 112m

En juillet 2016, le géant américain des télécommunications Verizon a réalisé l’acquisition de 5 milliards de dollars des activités Internet de Yahoo. Bien que, cette violation ne devrait pas affecter la prise de contrôle.

Déclaration de Verizon cet après-midi concernant l'incident de sécurité de Yahoo. $ VZ pic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 22 septembre 2016

Notre conseil reste le même que pour toute violation majeure des données. Réinitialisez vos mots de passe. Surveillez également vos courriels et vos messages texte au cours des semaines et des mois à venir. Se souvenir de ne réutilisez jamais les informations d'identification de votre compte.

Réutilisation des informations d'identification; pas même une fois.

Votre compte a-t-il été compromis? Êtes-vous surpris de voir combien de temps il a fallu à Yahoo pour agir? Quel service majeur sera violé ensuite? Faites-nous savoir vos pensées ci-dessous!

Explorez plus sur: Piratage, Sécurité en ligne, Mot de passe.