Yahoo! Perdimos sus datos! Hace dos años...

Anuncio

El gigante web Yahoo ha sufrido una enorme violación de datos. La violación, que tuvo lugar en 2014, resultó en la información de 500 millones de usuarios de Yahoo ofrecido a la venta en la web oscura 10 esquinas poco conocidas de la Web profunda que realmente te pueden gustarLa web oscura tiene una mala reputación, pero hay algunos sitios web oscuros realmente útiles que quizás quieras visitar. Lee mas .

La escala del robo eclipsa otras brechas importantes de datos recientes y coloca las prácticas de seguridad en Yahoo firmemente bajo el foco de atención.

¿Qué ha sido violado?

Yahoo emitió un comunicado confirmar y detallar la violación de seguridad, haciendo una afirmación de que los hackers "patrocinados por el estado" robaron los datos. La información, incluidos nombres, direcciones de correo electrónico, números de teléfono y preguntas de seguridad, fue robada a la compañía en 2014.

"Una investigación reciente de Yahoo ha confirmado que una copia de cierta información de la cuenta de usuario fue robada de nuestra red a fines de 2014 por lo que creemos que es un actor patrocinado por el estado. Estamos trabajando en estrecha colaboración con las autoridades policiales y notificando a los usuarios potencialmente afectados sobre las formas en que pueden proteger aún más sus cuentas ".

instagram viewer

Un pequeño positivo llega al saber que la violación no contenía "contraseñas no protegidas, datos de tarjetas de pago o información de cuenta bancaria". No obstante, el las declaraciones emitidas por Yahoo plantearán más preguntas de los investigadores de seguridad sobre la cronología de los eventos, así como sobre las acciones de la compañía en los días siguientes el incumplimiento.

ROMPER: 500 millones #Yahoo Cuentas comprometidas en 2014 Hack. En otras noticias impactantes, 500 millones de personas tienen cuentas de Yahoo.

- Ben Canner (@InfoSec_Review) 22 de septiembre de 2016

Planteando preguntas importantes

Firmemente encima de la lista de preguntas de muchos investigadores de seguridad simplemente será "¿Por qué tardó tanto en confirmar un hack? ¿Por qué las compañías que guardan las brechas en secreto podrían ser algo bueno?Con tanta información en línea, todos nos preocupamos por posibles violaciones de seguridad. Pero estas infracciones podrían mantenerse en secreto en los EE. UU. Para protegerlo. Suena loco, entonces, ¿qué está pasando? Lee mas de esta escala? Esto fácilmente pasa a otras preguntas, también. ¿Por qué Yahoo tardó tanto en informar a sus usuarios de la violación?

Yahoo ahora está enviando notificaciones de incumplimiento a los clientes: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt) 23 de septiembre de 2016

La noción de un ataque patrocinado por el estado también es desconcertante. Hasta el momento, Yahoo no ha podido presentar ninguna evidencia que vincule la violación a un actor de un estado-nación, aunque tres funcionarios de inteligencia de Estados Unidos, que se negaron a ser identificados por su nombre, confirmado a Reuters:

"... creían que el ataque fue patrocinado por el estado debido a su parecido con los ataques anteriores rastreados a las agencias de inteligencia rusas o los piratas informáticos que actuaban en su dirección".

Incluso si la violación se parecía a ataques previos de nación-estado Cuando los gobiernos atacan: malware de estado-nación expuestoEn este momento se está produciendo una guerra cibernética, oculta por Internet, cuyos resultados rara vez se observan. ¿Pero quiénes son los jugadores en este teatro de guerra y cuáles son sus armas? Lee mas , esas infracciones no suelen dar lugar a la divulgación de datos privados del usuario. Más raro todavía está encontrando esos credenciales anunciadas para la venta en la web oscura Aquí está cuánto podría valer su identidad en la Web oscuraEs incómodo pensar en ti mismo como una mercancía, pero todos tus datos personales, desde el nombre y la dirección hasta los detalles de la cuenta bancaria, valen algo para los delincuentes en línea. ¿Cuanto vales? Lee mas .

Agregar más intriga es la identidad del individuo que vende parte de la violación de datos. Un usuario llamado "Peace of Mind", que también había vendido descargas de datos de las violaciones de MySpace y LinkedIn, estaba promocionando activamente los datos.

Jeremiah Grossman, jefe de estrategia de seguridad en SentinelOne, dijo "Si bien sabemos que la información fue robada a fines de 2014, no tenemos ninguna indicación de cuándo Yahoo se enteró por primera vez de esta violación. Este es un detalle importante en la historia ".

Grossman cree que, dado que Peace of Mind era un "pirata informático", sería muy poco probable que hubiera recibido el patrocinio del estado; en consecuencia, "esto significa que es posible que estemos viendo dos infracciones de Yahoo diferentes con dos grupos de piratería diferentes en su sistema".

"La gran cantidad de personas afectadas por este ciberataque es asombrosa y demuestra cuán severas pueden ser las consecuencias de un ataque de seguridad... Nosotros Todavía no conocemos todos los detalles de cómo ocurrió este hack, pero aquí hay un mensaje serio e importante para las empresas que adquieren y manejan datos. La información personal de las personas debe estar protegida de forma segura con cerradura y llave, y esa llave debe ser imposible de encontrar para los hackers ". - Comisionado de Información del Reino Unido Elizabeth Denham

¿Qué tan serio es esto?

La declaración de Yahoo confirmó que la gran mayoría de las contraseñas robadas se cifraron con bcrypt. Hashing es el proceso de convertir una contraseña en una "huella digital" de longitud fija que se recupera y verifica cuando un usuario intenta iniciar sesión. Es un método básico para proteger la información del usuario. Cada sitio web seguro hace esto con su contraseña¿Alguna vez se ha preguntado cómo los sitios web mantienen su contraseña a salvo de violaciones de datos? Lee mas , pero es todavía ignorado por algunos sitios web Las 7 tácticas más comunes utilizadas para hackear contraseñasCuando escuchas "violación de seguridad", ¿qué te viene a la mente? ¿Un hacker malévolo? ¿Algún chico que vive en el sótano? La realidad es que todo lo que se necesita es una contraseña, y los hackers tienen 7 formas de obtener la suya. Lee mas .

Bcrypt se considera un método seguro de hashing como los hashes también son "salados" ¿Cómo mantienen seguros los sitios web sus contraseñas?Con las infracciones de seguridad en línea regulares reportadas, sin duda le preocupa cómo los sitios web cuidan su contraseña. De hecho, para su tranquilidad, esto es algo que todos deben saber ... Lee mas Un proceso donde cada hash será diferente, incluso si está protegiendo la misma contraseña.

Las contraseñas son irritantes pero fáciles de cambiar; el apellido de soltera de una madre no lo es. Los hackers también incumplieron las preguntas de seguridad de texto sin formato. Las preguntas de seguridad han estado bajo escrutinio durante mucho tiempo Cómo crear una pregunta de seguridad que nadie más pueda adivinarEn las últimas semanas he escrito mucho sobre cómo hacer que las cuentas en línea sean recuperables. Una opción de seguridad típica es configurar una pregunta de seguridad. Si bien esto potencialmente proporciona una manera rápida y fácil de ... Lee mas por su papel en la identificación de cuentas de usuario en incumplimientos anteriores, aún forman una característica principal de la mayoría de los sistemas de inicio de sesión de cuenta de usuario.

En consecuencia, Yahoo ha enviado a todos sus usuarios un mensaje de restablecimiento de contraseña. Animan a sus usuarios a:

• Cambie su contraseña y preguntas y respuestas de seguridad para cualquier otra cuenta en la que use las mismas credenciales o similares que las utilizadas para su cuenta de Yahoo.
• Revise sus cuentas para detectar actividades sospechosas.
• Tenga cuidado con cualquier comunicación no solicitada que solicite su información personal o lo remita a una página web que solicite información personal.
• Evite hacer clic en enlaces o descargar archivos adjuntos de correos electrónicos sospechosos.

No podemos enfatizar lo suficiente la primera sugerencia. También aconsejamos a nuestros lectores que consideren otros sitios con los que pueden haber usado sus credenciales de inicio de sesión, como el servicio de almacenamiento de fotos Flickr o el sitio de marcadores sociales Del.icio.us.

Es posible que haya creado una cuenta de Yahoo sin darse cuenta de que era insegura.

Una gran brecha

Yahoo ahora toma una corona no deseada Lo que necesita saber sobre la fuga masiva de cuentas de LinkedInUn hacker está vendiendo 117 millones de credenciales de LinkedIn pirateadas en la web oscura por alrededor de $ 2,200 en Bitcoin. Kevin Shabazi, CEO y fundador de LogMeOnce, nos ayuda a comprender exactamente lo que está en riesgo. Lee mas : la mayor violación de datos corporativos de la historia.

• Yahoo: 500 millones de credenciales de usuario
• MySpace - 359m
• LinkedIn - 164 millones
• Adobe - 152m
• Badoo - 112m

En julio de 2016, el gigante estadounidense de telecomunicaciones Verizon realizó la adquisición de $ 5 mil millones del negocio de Internet de Yahoo. Sin embargo, no se espera que esta violación afecte la adquisición.

Declaración de Verizon esta tarde sobre el incidente de seguridad de Yahoo. $ VZpic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 22 de septiembre de 2016

Nuestro consejo sigue siendo el mismo que con cualquier violación importante de datos. Restablece tus contraseñas. Además, examine sus correos electrónicos y mensajes de texto en las próximas semanas y meses. Recuerda nunca reutilice las credenciales de su cuenta.

Reutilización de credenciales; ni una sola vez.

¿Tu cuenta ha sido comprometida? ¿Te sorprende cuánto tiempo le tomó a Yahoo actuar? ¿Qué servicio principal se violará a continuación? ¡Déjanos saber tus pensamientos abajo!