Yahoo! Vi har mistet dine data! To år siden...

Reklame

Webgiganten Yahoo har lidt et enormt dataovertrædelse. Overtrædelsen, der fandt sted i 2014, resulterede i, at oplysningerne fra 500 millioner Yahoo-brugere blev tilbydes til salg på det mørke web 10 lidt kendte hjørner på det dybe web, du faktisk kan lideDen mørke web har et dårligt ry, men der er nogle virkelig nyttige mørke websteder, du måske vil tjekke ud. Læs mere .

Omfanget af tyveriet dværger andre nylige, større dataforbrud og placerer sikkerhedspraksis på plads ved Yahoo fast under rampelyset.

Hvad er blevet brudt?

Yahoo udsendte en erklæring bekræftelse og detaljering af sikkerhedsovertrædelsen, og hævder, at dataene blev stjålet af “statsstøttede” hackere. Oplysninger, herunder navne, e-mail-adresser, telefonnumre og sikkerhedsspørgsmål blev stjålet fra virksomheden i 2014.

”En nylig undersøgelse fra Yahoo har bekræftet, at en kopi af visse brugerkontooplysninger blev stjålet fra vores netværk i slutningen af ​​2014 af, hvad vi mener er en statsstøttet skuespiller. Vi arbejder tæt sammen med de retshåndhævende myndigheder og underretter potentielt berørte brugere om måder, de kan sikre deres konti yderligere på. ”

instagram viewer

Én lille positiv ankommer i den viden, at overtrædelsen ikke indeholdt "ubeskyttede adgangskoder, betalingskortdata eller bankkontooplysninger." Ikke desto mindre erklæringer udstedt af Yahoo vil rejse yderligere spørgsmål fra sikkerhedsforskere om tidslinjen for begivenheder samt virksomhedens handlinger i dagene efter overtrædelsen.

BREAKING: 500 millioner #yahoo Konti kompromitteret i 2014 Hack. I andre chokerende nyheder har 500 millioner mennesker Yahoo-konti.

- Ben Canner (@InfoSec_Review) 22. september 2016

Rejse vigtige spørgsmål

Mange af sikkerhedsforskernes liste over spørgsmål vil simpelt hen være “hvorfor tog det så lang tid at bekræfte et hack Hvorfor virksomheder, der holder en kriminel hemmelighed, kan være et godt tingMed så meget information online, bekymrer vi os alle over mulige sikkerhedsbrud. Men disse overtrædelser kunne holdes hemmelige i USA for at beskytte dig. Det lyder vanvittigt, så hvad sker der? Læs mere af denne skala? ” Dette segmenteres let også i andres spørgsmål. Hvorfor tog Yahoo så lang tid at informere sine brugere om overtrædelsen?

Yahoo sender nu overtrædelsesmeddelelser til kunder: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt) 23. september 2016

Forestillingen om et stats sponsoreret angreb er også forundrende. Yahoo har endnu ikke fremlagt nogen beviser, der knytter overtrædelsen til en nationalstatsaktør, skønt tre amerikanske efterretningsembedsmænd - som afviste at blive identificeret ved navn - bekræftet overfor Reuters:

”… De troede, at angrebet var statssponsoreret på grund af dets lighed med tidligere hacks, der blev sporet til russiske efterretningsbureauer eller hackere, der handlede i deres retning.”

Selv hvis overtrædelsen lignede tidligere nationstatsangreb Når regeringer angriber: Nationstatlig malware udsættesEt cyberwar finder sted lige nu, skjult af internettet, og dets resultater er sjældent observeret. Men hvem er spillerne i dette krigsteater, og hvad er deres våben? Læs mere , disse overtrædelser resulterer typisk ikke i frigivelse af private brugerdata. Mindre sjældent finder man dem legitimationsoplysninger annonceret til salg på det mørke web Her er hvor meget din identitet kan være værd på det mørke webDet er ubehageligt at tænke på dig selv som en vare, men alle dine personlige oplysninger, fra navn og adresse til bankkontooplysninger, er noget værd for online kriminelle. Hvor meget er du værd? Læs mere .

Tilføjelse af yderligere intriger er identiteten af ​​den enkelte sælgende del af dataovertrædelsen. En bruger ved navn “Fred i sindet”, der også havde solgt datadumps af MySpace- og LinkedIn-bruddet, beskrev aktivt dataene.

Jeremiah Grossman, chef for sikkerhedsstrategi hos SentinelOne, sagde ”Selvom vi ved, at informationen blev stjålet i slutningen af ​​2014, har vi ikke nogen indikation af, hvornår Yahoo først lærte om dette brud. Dette er en vigtig detalje i historien. ”

Grossman mener, at da Peace of Mind var en "profiteer-hacker", ville de meget usandsynligt have modtaget stats sponsorering; følgelig "dette betyder, at det er muligt, at vi ser på to forskellige Yahoo-brud med to forskellige hackinggrupper i deres system."

”Det store antal mennesker, der er berørt af dette cyberangreb, er svimlende og demonstrerer, hvor alvorlige konsekvenserne af et sikkerhedshack kan være... Vi ved endnu ikke alle detaljerne om, hvordan dette hack skete, men der er en nøgtern og vigtig besked her for virksomheder, der erhverver og håndterer personlige data. Folks personlige oplysninger skal beskyttes sikkert under lås og nøgle - og den nøgle skal være umulig for hackere at finde. ” - Det Forenede Kongeriges informationskommissær Elizabeth Denham

Hvor alvorlig er dette?

Yahoos erklæring bekræftede, at langt de fleste stjålne adgangskoder blev hashet ved hjælp af bcrypt. Hashing er processen med at omdanne et kodeord til et "fingeraftryk" med fast længde, der huskes og kontrolleres, når en bruger forsøger at logge ind. Det er en grundlæggende metode til beskyttelse af brugerinformation Hvert sikkert websted gør dette med din adgangskodeHar du nogensinde undret dig over, hvordan websteder holder dit kodeord sikkert mod brud på data? Læs mere , endnu er stadig overset af nogle websteder De 7 mest almindelige taktikker brugt til at hacke adgangskoderNår du hører "sikkerhedsbrud", hvad er det der tænker på? En ondskabsfuld hacker? Et barn i kælderboligen? Virkeligheden er, at alt, hvad der kræves, er en adgangskode, og hackere har 7 måder at få din. Læs mere .

Bcrypt betragtes som en sikker metode til hashing som hasherne er også "saltet" Hvordan holder websteder dine adgangskoder sikre?Med rapporterede regelmæssige online sikkerhedsbrud er du uden tvivl bekymret for, hvordan websteder ser efter dit kodeord. Faktisk for ro i sindet er dette noget, alle har brug for at vide ... Læs mere en proces, hvor hver hash vil være forskellig, selvom den beskytter den samme adgangskode.

Adgangskoder er irriterende, men let at ændre; en mors pigenavn er det ikke. Hackere overtrådte også almindelige sikkerhedsspørgsmål. Sikkerhedsspørgsmål er længe blevet undersøgt Sådan oprettes et sikkerhedsspørgsmål, som ingen andre kan gætteI de seneste uger har jeg skrevet meget om, hvordan man kan gøre online-konti genindvindelige. En typisk sikkerhedsindstilling er at oprette et sikkerhedsspørgsmål. Selvom dette potentielt giver en hurtig og nem måde at ... Læs mere for deres rolle i identificering af brugerkonti i tidligere overtrædelser, og alligevel udgør de stadig en primær funktion i de fleste brugerkontonets login-systemer.

Derfor har Yahoo sendt alle deres brugere en meddelelse om nulstilling af adgangskode. De opfordrer deres brugere til:

• Skift din adgangskode og sikkerhedsspørgsmål og svar for alle andre konti, som du bruger de samme eller lignende legitimationsoplysninger som dem, der bruges til din Yahoo-konto.
• Gennemgå dine konti for mistænksom aktivitet.
• Vær forsigtig med al uopfordret kommunikation, der beder om dine personlige oplysninger eller henviser dig til en webside, der beder om personlige oplysninger.
• Undgå at klikke på links eller downloade vedhæftede filer fra mistænkelige e-mails.

Vi kan ikke understrege det første forslag nok. Vi råder også vores læsere til at overveje andre websteder, de muligvis har brugt deres loginoplysninger med, f.eks. Fotolagringstjeneste Flickr eller social bookmarking-site Del.icio.us.

Du har muligvis oprettet en Yahoo-konto uden at indse, at den var usikker.

Et stort gammelt brud

Yahoo nu tager en uønsket krone Hvad du har brug for at vide om den enorme lække på LinkedIn-kontiEn hacker sælger 117 millioner hackede LinkedIn-legitimationsoplysninger på Dark web for omkring $ 2.200 i Bitcoin. Kevin Shabazi, administrerende direktør og grundlægger af LogMeOnce, hjælper os med at forstå, hvad der er i fare. Læs mere : det største virksomhedsdataovertrædelse i historien.

• Yahoo - 500 millioner brugeroplysninger
• MySpace - 359m
• LinkedIn - 164 m
• Adobe - 152m
• Badoo - 112 m

I juli 2016 foretog den amerikanske telekommunikationsgigant Verizon $ 5 mia. Erhvervelse af Yahoos internetforretning. Imidlertid forventes denne overtrædelse ikke at påvirke overtagelsen.

Verizon-erklæring i eftermiddag angående Yahoo-sikkerhedshændelse. $ VZpic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 22. september 2016

Vores råd forbliver de samme som ved enhver større dataovertrædelse. Nulstil dine adgangskoder. Kontroller også dine e-mails og tekstbeskeder i de kommende uger og måneder. Husk at Brug aldrig dine kontooplysninger.

Brugsretlig genbrug; ikke en eneste gang.

Er din konto kompromitteret? Er du overrasket over, hvor lang tid det tog Yahoo at handle? Hvilken større service overtrædes næste? Fortæl os dine tanker nedenfor!