Yahoo! Vi har mistet dine data! To år siden…

Webgiganten Yahoo har lidt et enormt dataovertrædelse. Overtrædelsen, der fandt sted i 2014, resulterede i, at oplysningerne om 500 millioner Yahoo-brugere blev tilbudt til salg på den mørke web. 6 Lille-kendte hjørner på det dybe web, du kan faktisk ligesom 6 Lille-kendte hjørner på den dybe web, du kunne Faktisk som den dybe web har et dårligt omdømme - næsten alle dårlige ting, du kan tænke på, er tilgængelige der. Men der er også nogle virkelig gode ting, du måske vil tjekke ud. .

Billedkredit: Ken Wolter via Shutterstock.com

Omfanget af tyveriet dværger andre nylige, større dataforbrud og placerer sikkerhedspraksis på plads ved Yahoo fast under lys.

Hvad er blevet brudt?

Yahoo udsendte en erklæring, der bekræftede og detaljerede sikkerhedsovertrædelsen og hævdede, at dataene var stjålet af “statsstøttet” hackere. Oplysninger, herunder navne, e-mail-adresser, telefonnumre og sikkerhedsspørgsmål blev stjålet fra virksomheden i 2014.

“En nylig undersøgelse fra Yahoo har bekræftet, at en kopi af visse brugerkontooplysninger blev stjålet fra vores netværk i slutningen af ​​2014 af det, som vi mener er en statsstøttet skuespiller. Vi arbejder tæt sammen med de retshåndhævende myndigheder og underretter potentielt berørte brugere om måder, de kan sikre deres konti yderligere.”

En lille positiv ankommer i den viden, at overtrædelsen ikke indeholdt “ubeskyttede adgangskoder, betalingskortdata eller bankkontooplysninger.” Ikke desto mindre vil erklæringerne fra Yahoo rejse yderligere spørgsmål fra sikkerhedsforskere om begivenhedens tidslinje samt virksomhedens handlinger i dagene efter overtrædelsen.

BREAKING: 500 millioner #Yahoo-konti kompromitteret i 2014 Hack. I andre chokerende nyheder har 500 millioner mennesker Yahoo-konti.

- Ben Canner (@InfoSec_Review) 22. september 2016

Rejse vigtige spørgsmål

Mange af sikkerhedsforskernes liste over spørgsmål vil simpelt hen være “Hvorfor tog det så lang tid at bekræfte et hack Hvorfor virksomheder, der holder krænkelser en hemmelighed, kan være et godt ting, hvorfor firmaer, der holder krænkelser en hemmelighed, kan være et godt sted? Men disse overtrædelser kunne holdes hemmelige i USA for at beskytte dig. Det lyder vanvittigt, så hvad sker der? af denne skala?” Dette segmenteres nemt også i andres spørgsmål. Hvorfor tog Yahoo så lang tid at informere sine brugere om overtrædelsen?

Yahoo sender nu overtrædelsesmeddelelser til kunder: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt) 23. september 2016

Forestillingen om et stats sponsoreret angreb er også forundrende. Yahoo har endnu ikke fremlagt nogen beviser, der knytter overtrædelsen til en nationalstatsaktør, selvom tre amerikanske efterretningsembedsmænd - der afviste at blive identificeret ved navn - bekræftet overfor Reuters:

“… De troede, at angrebet var statssponsoreret på grund af dets lighed med tidligere hacks, der blev sporet til russiske efterretningsbureauer eller hackere, der handler i deres retning.”

Selv hvis overtrædelsen lignede tidligere nationstatsangreb Når regeringer angriber: Nationstatens malware udsættes, når regeringerne angriber: Nationstatens malware udsættes Et cyberwar finder sted lige nu, skjult af internettet, observeres det sjældent. Men hvem er spillerne i dette krigsteater, og hvad er deres våben? , disse overtrædelser resulterer typisk ikke i frigivelse af private brugerdata. Mindre sjældent finder man de legitimationsoplysninger, der er annonceret til salg på det mørke web. Her er, hvor meget din identitet kan være værd på det mørke web. Her er, hvor meget din identitet kan være værd på det mørke web. Det er ubehageligt at betragte dig selv som en vare, men alt sammen dine personlige oplysninger, fra navn og adresse til bankkontooplysninger, er værd noget for online kriminelle. Hvor meget er du værd? .

Tilføjelse af yderligere intriger er identiteten af ​​den enkelte sælgende del af dataovertrædelsen. En bruger navngivet “Sindsro,” der også havde solgt datadumps af MySpace og LinkedIn overtrædelser, var aktivt med at udråbe dataene.

Billedkredit: kan lide via Shutterstock

Jeremiah Grossman, chef for sikkerhedsstrategi hos SentinelOne, sagde “Selvom vi ved, at oplysningerne blev stjålet i slutningen af ​​2014, har vi ikke nogen indikation af, hvornår Yahoo først lærte om dette brud. Dette er en vigtig detalje i historien.”

Grossman mener, at som fred i sindet var en “profiteer hacker” de ville meget usandsynligt have modtaget statsstøtte; følgelig, “Det betyder, at det er muligt, vi ser på to forskellige Yahoo-brud med to forskellige hackinggrupper i deres system.”

“Det store antal mennesker, der er berørt af dette cyberangreb, er svimlende og demonstrerer, hvor alvorlige konsekvenserne af et sikkerhedshack kan være ... Vi ved endnu ikke alle detaljerne om, hvordan dette hack skete, men der er en nøgtern og vigtig besked her for virksomheder, der erhverver og håndterer personoplysninger. Folks personlige oplysninger skal beskyttes sikkert under lås og nøgle - og den nøgle skal være umulig for hackere at finde.” - Det Forenede Kongeriges informationskommissær Elizabeth Denham

Hvor alvorlig er dette?

Yahoos erklæring bekræftede, at langt de fleste stjålne adgangskoder var hashede ved hjælp af bcrypt. Hashing er processen med at omdanne et kodeord til en fast længde “fingeraftryk” der huskes og kontrolleres, når en bruger forsøger at logge ind. Det er en grundlæggende metode til at beskytte brugeroplysninger Hvert sikkert websted gør dette med din adgangskode Hvert sikkert websted gør dette med din adgangskode Har du nogensinde spekuleret på, hvordan websteder holder dit kodeord sikkert mod brud på data? , men stadig overses af nogle websteder. De 7 mest almindelige taktik, der bruges til at hacke adgangskoder. De 7 mest almindelige taktik, der bruges til at hacke adgangskoder. Når du hører "sikkerhedsbrud", hvad er det der tænker på? En ondskabsfuld hacker? Et barn i kælderboligen? Virkeligheden er, at alt, hvad der kræves, er en adgangskode, og hackere har 7 måder at få din. .

Bcrypt betragtes som en sikker metode til hashing, da hasherne også er “saltet,” Hvordan holder websteder dine adgangskoder sikre? Hvordan holder websteder dine adgangskoder sikre? Med rapporterede regelmæssige online sikkerhedsbrud er du uden tvivl bekymret for, hvordan websteder ser efter dit kodeord. Faktisk for fred i sindet er dette noget, alle har brug for at vide ... en proces, hvor hver hash vil være anderledes, selvom det beskytter den samme adgangskode.

Adgangskoder er irriterende, men let at ændre; en mors pigenavn er det ikke. Hackere overtrådte også almindelige sikkerhedsspørgsmål. Sikkerhedsspørgsmål er længe blevet undersøgt Hvordan man opretter et sikkerhedsspørgsmål, som ingen andre kan gætte på, hvordan man opretter et sikkerhedsspørgsmål, som ingen andre kan gætte i de seneste uger, har jeg skrevet en masse om, hvordan man kan gøre online-konti genindvindelige. En typisk sikkerhedsindstilling er at oprette et sikkerhedsspørgsmål. Selvom dette potentielt giver en hurtig og nem måde at… for deres rolle i at identificere brugerkonti i tidligere overtrædelser, er de alligevel stadig en primær funktion i de fleste login-systemer til brugerkonti.

Derfor har Yahoo sendt alle deres brugere en meddelelse om nulstilling af adgangskode. De opfordrer deres brugere til:

• Skift din adgangskode og sikkerhedsspørgsmål og svar for alle andre konti, som du bruger de samme eller lignende legitimationsoplysninger som dem, der bruges til din Yahoo-konto.
• Gennemgå dine konti for mistænksom aktivitet.
• Vær forsigtig med al uopfordret kommunikation, der beder om dine personlige oplysninger eller henviser dig til en webside, der beder om personlige oplysninger.
• Undgå at klikke på links eller downloade vedhæftede filer fra mistænkelige e-mails.

Vi kan ikke understrege det første forslag nok. Vi råder også vores læsere til at overveje andre websteder, de muligvis har brugt deres loginoplysninger med, f.eks. Fotolagringstjeneste Flickr eller social bookmarking-site Del.icio.us.

Du har muligvis oprettet en Yahoo-konto uden at indse, at den var usikker.

En stor gammel krænkelse

Yahoo tager nu en uønsket krone Hvad du har brug for at vide om de massive LinkedIn-konti lækager Hvad du har brug for at vide om de massive LinkedIn-konti Lækage En hacker sælger 117 millioner hackede LinkedIn-legitimationsoplysninger på Dark web for omkring $ 2.200 i Bitcoin. Kevin Shabazi, administrerende direktør og grundlægger af LogMeOnce, hjælper os med at forstå, hvad der er i fare. : det største virksomhedsdataovertrædelse i historien.

• Yahoo - 500 millioner brugeroplysninger
• MySpace - 359m
• LinkedIn - 164 m
• Adobe - 152 m
• Badoo - 112 m

I juli 2016 foretog den amerikanske telekommunikationsgigant Verizon $ 5 mia. Erhvervelse af Yahoos internetforretning. Imidlertid forventes denne overtrædelse ikke at påvirke overtagelsen.

Verizon-erklæring i eftermiddag angående Yahoo-sikkerhedshændelse. $ VZ pic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 22. september 2016

Vores råd forbliver de samme som ved enhver større dataovertrædelse. Nulstil dine adgangskoder. Kontroller også dine e-mails og tekstbeskeder i de kommende uger og måneder. Husk at Brug aldrig dine kontooplysninger.

Brugsretlig genbrug; ikke en eneste gang.

Er din konto blevet kompromitteret? Er du overrasket over, hvor lang tid det tog Yahoo at handle? Hvilken større service overtrædes næste? Fortæl os dine tanker nedenfor!