Yahoo! in queste ore ha confermato tramite il suo blog che è stata vittima di un attacco informatico. I criminali secondo Yahoo! sono riusciti a sottrarre circa 500 milioni di account. La realtà è che Yahoo! Non è stata hackerata in questi giorni, ma molti anni fa e i numeri sono leggermente diversi.
Il data breach infatti risale al 2012 e i dati sono stati messi in vendita sulla darknet ad agosto 2016 sul sito TheRealDeal da criminali con gli pseudonimi “Peace” e “peace_of_mind” a un prezzo di 3 bitcoin (circa 1,800 dollari).
I dati rubati includono username, informazioni personali, data di nascita, indirizzi email, domande di sicurezza e relative risposte e per finire le password decriptate.
Questi cybercriminali sembrano avere un’ottima reputazione su TheRealDeal avendo già venduto gli hack di centinaia di milioni di account di Linkedin, Vk.com, Myspace e Tumblr. Questo particolare può indurre a pensare un potenziale acquirente che i dati siano reali. Ma Yahoo! di questo breach non ha mai confermato la veridicità né rilasciato nessuna dichiarazione.
Un piccolo particolare: i criminali su TheRealDeal affermano che le password sono state criptate con MD5, algoritmo molto più vulnerabile di quello descritto nel post ufficiale di Yahoo! apparso poche ore fa, dove invece viene descritto l’utilizzo di bcrypt (algoritmo ben più efficace).
Quindi qualcosa non torna, soprattutto sui numeri. Si potrebbe ipotizzare anche che l’hack in realtà fosse di 500 milioni di account e che i criminali abbiano messo in vendita soltanto quelli con hash MD5 craccabile. Questo potrebbe forse dare una risposta alla differenza di numeri: 200 milioni contro i 500 dichiarati da Yahoo!? Resta il fatto che le dichiarazioni di Yahoo! non trovano un riscontro pubblico. Nel post ufficiale si conferma che l’hack risale all’anno 2014 e si parla di stated sponsored attack. E allora perché la conferma è arrivata 2 anni dopo?
La pubblicazione e la conferma di questo data breach è avvenuta solo dopo che Verizon ha accettato l’acquisto di Yahoo! per la cifra di 4.8 miliardi di dollari. Questo potrebbe spiegare il silenzio di questi anni. Una notizia simile avrebbe potuto causare perdite per milioni di dollari e per Yahoo! non sarebbe stato facile affrontare una situazione del genere in uno dei momenti più critici della sua storia.
Verizon dal canto suo non è rimasta in disparte, e poco fa ha rilasciato queste dichiarazioni: Within the last two days, we were notified of Yahoo’s security incident. We understand that Yahoo is conducting an active investigation of this matter, but we otherwise have limited information and understanding of the impact. We will evaluate as the investigation continues through the lens of overall Verizon interests, including consumers, customers, shareholders and related communities. Until then, we are not in position to further comment.
Questo potrebbe avere ripercussioni sulla finalizzazione dell’acquisto da parte di Verizon di Yahoo!? Staremo a vedere nei prossimi giorni…
Facebook Comments