Tra il 2015 e il 2016, 32 milioni di acconti di utenti Yahoo! sono stati violati attraverso l’uso di cookie contraffatti, software grazie ai quali si può entrare in un profilo senza bisogno di conoscere la password. E’ quanto si ricava dal report annuale di Yahoo! inviato alla Sec (la Consob statunitense), dove si evidenzia che tali cookie sono stati invalidati dalla compagnia, così da non poter essere più usati per accedere agli account.
“Riteniamo che alcune di queste attività – si legge nel documento – siano collegate allo stesso attore, sponsorizzato da uno Stato, ritenuto responsabile dell’incidente di sicurezza del 2014”. Il riferimento è al maxi-attacco hacker in cui sono stati coinvolti almeno 500 milioni di utenti di Yahoo.
Nel 2013 Yahoo era stata vittima di un altro cyberattacco, reso noto solo nel dicembre scorso, che aveva compromesso più di un miliardo di account. Per questo attacco, ritenuto distinto da quello del 2014, la compagnia non ha rilevato intrusioni.
IN PRECEDENZA A DICEMBRE 2016
«Nomi, indirizzi email, numeri di telefono, date di nascita, password criptate e in qualche caso anche domande di sicurezza cifrate o in chiaro, con le relative risposte». Questo hanno ottenuto gli hacker che hanno violato il sistema informatico di Yahoo, come comunica l’azienda stessa oggi in un post. Tra le informazioni trafugate non ci sarebbero «password in chiaro, dati di carte di pagamento o di conti bancari», che sarebbero conservate in un sistema diverso da quello che si ritiene sia stato oggetto dell’attacco. Che è non grande, non grandissimo, ma enorme, anzi il più importante della storia: oltre un miliardo di account infatti sarebbero stati violati.
Il record precedente era di appena qualche mese fa, quando i dati di oltre 500 milioni di persone erano finiti nelle mani degli hacker. e anche allora erano iscritti a Yahoo!, un tempo pioniere del web, oggi rottame tecnologico da abbandonare al più presto. Questo è, per quanto è in grado di sapere l’azienda, un attacco distinto da quello svelato lo scorso settembre, dopo mesi di dinieghi e mezze verità (risaliva infatti al settembre 2014).
È anche e soprattutto un nuovo durissimo colpo di immagine che avrà certamente gravi ripercussioni sull’accordo con Verizon, il colosso Usa delle tlc che ha acquistato Yahoo! per circa 4,8 miliardi di dollari e che ora potrebbe voler ricontrattare l’intesa chiedendo un sostanzioso sconto.
Si tratta inoltre dell’ennesima grana per Merissa Mayer, controversa numero uno di Yahoo che avrebbe dovuto rilanciare il gruppo e che invece sta gestendo la sua fine come finora lo abbiamo conosciuto. Anche il futuro della manager nell’ambito dell’accordo con Verizon è a questo punto più che mai incerto, e la sua conferma appare quanto meno problematica. Intanto, nelle contrattazioni after hours a Wall Street il titolo di Yahoo ha perso oltre il 2%
La società riferisce che finora, nonostante l’aiuto delle forze dell’ordine che hanno segnalato l’attacco, non è stata in grado di identificare il responsabile, ma solo di risalire al momento in cui è avvenuto: l’agosto del 2013. Stavolta, a differenza di quanto avvenne a settembre, Yahoo! non si fa nessuna ipotesi e non cita gruppi vicini a governi né organizzazioni cybercriminali.
La precauzione da adottare al più presto, per chi avesse un account mail con Yahoo!, è di cambiare la password e non cliccare su link o scaricare allegati di mail sospette. L’azienda inoltre incoraggia gli utenti a verificare e segnalare se ci sono state attività inconsuete e a usare Yahoo! Account Key, uno strumento che elimina la necessità di usare una password.
Ma è opportuno cambiarla anche se non avete più un account Yahoo e, come quasi tutti, usate la stessa password anche per altri servizi.