Yahoo conferma: rubati 500 milioni di account

Come anticipato ieri, Yahoo ha confermato la violazione dei suoi server e il furto dei dati degli utenti. L’attacco non è avvenuto però nel 2012, come ipotizzato in precedenza, ma alla fine del 2014, probabilmente per conto di un governo straniero. L’azienda di Sunnyvale ha inoltre ammesso che gli account interessati sono almeno 500 milioni, quindi decisamente maggiore dei 200 milioni che un sedicente cracker ha venduto su uno store del dark web.

L’indagine avviata da Yahoo all’inizio di agosto ha permesso di scoprire che uno o più cybercriminali hanno sottratto molte informazioni relative agli utenti, tra cui nomi, indirizzi email, numeri di telefono, date di nascita, password hashed e, in alcuni casi, domande e risposte di sicurezza cifrate e non cifrate. L’azienda sostiene che i dati rubati non includono password in chiaro, numeri delle carte di credito e informazioni sugli account bancari. Questi ultimi non sono conservati sui server presi di mira dai cracker.

Yahoo ritiene che l’attacco sia stato eseguito da cybercriminali pagati da qualche stato estero, ma non è noto quale né il movente. Le indagini sono ancora in corso, quindi le conclusioni finali potrebbero cambiare nelle prossime ore. Verizon, che ha acquisito Yahoo per 4,83 miliardi di dollari, ha rilasciato un comunicato con il quale dichiara che l’incidente è stato notificato solo due giorni fa. Quanto accaduto potrebbe avere conseguenze sull’accordo sottoscritto a fine luglio.

Gli utenti potenzialmente interessati riceveranno un’email con i passi da seguire per cambiare la password e scegliere sistemi alternativi per la verifica dell’account. Yahoo consiglia di modificare la password, se è ancora la stessa del 2014. Tutte le domande/risposte di sicurezza sono state resettate. L’azienda suggerisce inoltre di cambiare la password di altri account, se identica a quella usata su Yahoo. Gli utenti possono eventualmente utilizzare la Yahoo Account Key, un tool che elimina la necessità di inserire la password, in quanto la richiesta di accesso viene inviata allo smartphone.