Yahoo! Vi har tappat dina data! Två år sedan...

Annons

Webgiganten Yahoo har drabbats av ett enormt dataöverträdelse. Överträdelsen, som ägde rum 2014, resulterade i att informationen till 500 miljoner Yahoo-användare var erbjuds till salu på den mörka webben 10 lite kända hörn på den djupa webben som du kanske gillarDen mörka webben har ett dåligt rykte, men det finns några riktigt användbara mörka webbplatser som du kanske vill kolla in. Läs mer .

Stöldens omfattning dvärgar andra senaste, stora dataintrång och sätter säkerhetspraxis på plats vid Yahoo fast under rampljuset.

Vad har brutits?

Yahoo utfärdade ett uttalande bekräftar och detaljerar säkerhetsbrottet, gör en påstående att uppgifterna var stulna av "statligt sponsrade" hackare. Information, inklusive namn, e-postadresser, telefonnummer och säkerhetsfrågor stuldes från företaget 2014.

”En nyligen genomförd undersökning av Yahoo har bekräftat att en kopia av viss information om användarkonton stalades från vårt nätverk i slutet av 2014 av vad vi tror är en statligt sponsrad skådespelare. Vi arbetar nära med brottsbekämpande myndigheter och meddelar potentiellt drabbade användare om hur de kan säkra sina konton ytterligare. ”

instagram viewer

En liten positiv anländer till vetskapen om att överträdelsen inte innehöll "oskyddade lösenord, betalkortsdata eller bankkontouppgifter." Ändå uttalanden som utfärdats av Yahoo kommer att väcka ytterligare frågor från säkerhetsforskare om händelsens tidslinje, liksom företagets åtgärder under de följande dagarna överträdelsen.

BREAKING: 500 miljoner #Yahoo Konton komprometterade 2014 Hack. I andra chockerande nyheter har 500 miljoner människor Yahoo-konton.

- Ben Canner (@InfoSec_Review) 22 september 2016

Ställa viktiga frågor

På toppen av många säkerhetsforskares lista med frågor kommer helt enkelt att vara "varför tog det så lång tid att bekräfta ett hack Varför företag som håller intrång i hemlighet kan vara ett bra sakMed så mycket information online, oroar vi oss alla för potentiella säkerhetsbrott. Men dessa överträdelser kan hållas hemliga i USA för att skydda dig. Det låter galen, så vad händer? Läs mer av den här skalan? ” Detta delas lätt in i andra frågor också. Varför tog Yahoo så lång tid att informera sina användare om överträdelsen?

Yahoo skickar nu ut aviseringar till kunder: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt) 23 september 2016

Begreppet en statssponsad attack är också förbryllande. Ännu har Yahoo inte framställt några bevis som kopplar överträdelsen till en nationell statsskådespelare, även om tre amerikanska underrättelsetjänstemän - som vägrade att identifieras med namn - bekräftat till Reuters:

"... de trodde att attacken var statssponserad på grund av dess likhet med tidigare hackar som spårades till ryska underrättelsebyråer eller hackare som agerade i deras riktning."

Även om överträdelsen bar likhet med tidigare nationstatsattacker När regeringar attackerar: Nation-State Malware ExposedEn cyberwar pågår just nu, dold av internet, dess resultat sällan observeras. Men vem är spelarna i denna krigsteater, och vad är deras vapen? Läs mer , dessa överträdelser leder normalt inte till att privata användardata släpps. Sällsyntare är det fortfarande att hitta dem referenser som annonserats för försäljning på den mörka webben Här är hur mycket din identitet kan vara värd på den mörka webbenDet är obekvämt att tänka på dig själv som en vara, men alla dina personliga uppgifter, från namn och adress till bankkontouppgifter, är värda något för online brottslingar. Hur mycket är du värd? Läs mer .

Att lägga till ytterligare intriger är identiteten för den enskilda som säljer en del av dataintrånget. En användare med namnet ”Peace of Mind”, som också sålt datadumpar av MySpace och LinkedIn-överträdelser, utarbetade aktivt uppgifterna.

Jeremiah Grossman, chef för säkerhetsstrategi på SentinelOne, sa ”Även om vi vet att informationen var stulen i slutet av 2014, har vi ingen indikation på när Yahoo först fick veta om detta intrång. Det här är en viktig detalj i berättelsen. ”

Grossman anser att eftersom Peace of Mind var en "profiteer-hacker" skulle de vara mycket osannolika att de har fått statlig sponsring; följaktligen, "detta betyder att det är möjligt att vi tittar på två olika Yahoo-överträdelser med två olika hacking-grupper i deras system."

”Det stora antalet människor som drabbats av denna cyberattack är häpnadsväckande och visar hur allvarliga konsekvenserna av en säkerhetshack kan vara... Vi vet ännu inte alla detaljer om hur det här hacket hände, men det finns ett nykter och viktigt meddelande här för företag som förvärvar och hanterar personliga data. Människans personliga information måste skyddas säkert under lås och nyckel - och den nyckeln måste vara omöjlig för hackare att hitta. " - Storbritanniens informationskommissionär Elizabeth Denham

Hur allvarligt är det här?

Yahoos uttalande bekräftade att den stora majoriteten av de stulna lösenorden skyndades med hjälp av bcrypt. Hashing är processen att förvandla ett lösenord till ett "fingeravtryck" med fast längd som återkallas och kontrolleras när en användare försöker logga in. Det är en grundläggande metod för att skydda användarinformation Varje säker webbplats gör detta med ditt lösenordHar du någonsin undrat hur webbplatser skyddar ditt lösenord mot dataintrång? Läs mer , ändå är det fortfarande förbises av vissa webbplatser De 7 vanligaste taktik som används för att hacka lösenordVad hör till dig när du hör "säkerhetsbrott"? En ondskapsfull hackare? Något källarboende barn? Verkligheten är att allt som behövs är ett lösenord och hackare har 7 sätt att få ditt. Läs mer .

Bcrypt anses vara en säker hashmetod som hasherna är också "saltade" Hur håller webbplatser dina lösenord säkra?Med rapporterade regelbundna säkerhetsöverträdelser online är du utan tvekan orolig för hur webbplatser tar hand om ditt lösenord. För sinnesfrid är det faktiskt något som alla behöver veta ... Läs mer en process där varje hash kommer att vara annorlunda, även om det skyddar samma lösenord.

Lösenord är irriterande men lätt att ändra; en mammas jungfrun är inte. Hackare bröt också säkerhetsfrågor i vanlig text. Säkerhetsfrågor har länge granskats Hur man skapar en säkerhetsfråga som ingen annan kan gissaDe senaste veckorna har jag skrivit mycket om hur man kan göra onlinekonton återvinnbara. Ett typiskt säkerhetsalternativ är att ställa in en säkerhetsfråga. Även om detta potentiellt ger ett snabbt och enkelt sätt att ... Läs mer för sin roll i att identifiera användarkonton i tidigare överträdelser, men de utgör fortfarande en primär funktion i de flesta inloggningssystem för användarkonton.

Därför har Yahoo skickat alla sina användare ett meddelandet om återställning av lösenord. De uppmuntrar sina användare att:

• Ändra ditt lösenord och säkerhetsfrågor och svar för alla andra konton som du använder samma eller liknande referenser som de som används för ditt Yahoo-konto.
• Granska dina konton för misstänkt aktivitet.
• Var försiktig med all oönskad kommunikation som ber om din personliga information eller hänvisar dig till en webbsida som ber om personlig information.
• Undvik att klicka på länkar eller ladda ner bilagor från misstänkta e-postmeddelanden.

Vi kan inte betona det första förslaget tillräckligt. Vi råder också våra läsare att överväga andra webbplatser de kan ha använt sina inloggningsuppgifter med, till exempel fotolagringstjänst Flickr eller social bokmärkeswebbplats Del.icio.us.

Du kanske har skapat ett Yahoo-konto utan att inse att det var osäkert.

Ett stort gammalt brott

Yahoo nu tar en oönskad krona Vad du behöver veta om massiva LinkedIn-konton läckaEn hackare säljer 117 miljoner hackade LinkedIn-referenser på Dark webben för cirka 2 200 dollar i Bitcoin. Kevin Shabazi, VD och grundare av LogMeOnce, hjälper oss att förstå vad som riskerar. Läs mer : det största företagsdataöverträdet i historien.

• Yahoo - 500 miljoner användaruppgifter
• MySpace - 359m
• LinkedIn - 164m
• Adobe - 152m
• Badoo - 112m

I juli 2016 förvärvade den amerikanska telekommunikationsgiganten Verizon $ 5 miljarder av Yahoos internetverksamhet. Även om detta överträdelse inte förväntas påverka övertagandet.

Verizon uttalande i eftermiddag angående Yahoo säkerhetshändelse. $ VZpic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 22 september 2016

Vårt råd förblir detsamma som vid alla större dataöverträdelser. Återställ dina lösenord. Granska också dina e-postmeddelanden och textmeddelanden under de kommande veckorna och månaderna. Kom ihåg att återanvänd aldrig dina kontouppgifter.

Credential återanvändning; inte ens en gång.

Har ditt konto äventyrats? Är du förvånad över hur lång tid det tog Yahoo att agera? Vilken större tjänst kommer att brytas nästa gång? Låt oss veta dina tankar nedan!