Yahoo je objavio da su hakeri ukrali podatke sa više od milijardu računa u 2013. godini. Prema tvrtki, podaci mogu sadržavati imena, ID-ove e-pošte, telefonske brojeve, šifrirane lozinke i "šifrirane ili nešifrirane sigurnosne pitanja i odgovore".
Ovaj je napad odvojen od onog koji je Yahoo objavljen u rujnu, u kojem je tvrtka vjerovala da je "akter koji je sponzorirao država" kompromitirao svoje servere za pristup korisničkim podacima s preko 500 milijuna računa. Međutim, čini se da su isti hakeri ovog puta uspjeli izbrisati više podataka.
Iz službene najave na Tumblr:
Kao što smo prethodno otkrili u studenom, policijska uprava dostavila nam je datoteke s podacima za koje je treća strana tvrdila da su Yahoo korisnički podaci. Analizirali smo te podatke uz pomoć vanjskih forenzičkih stručnjaka i otkrili da se čini da se radi o Yahooovim podacima korisnika. Na temelju daljnje analize ovih podataka od strane forenzičkih stručnjaka, vjerujemo da je neovlaštena treća strana u kolovozu 2013. ukrala podatke povezane s više od milijardu korisničkih računa. Nismo uspjeli identificirati upad koji je povezan s ovom krađom. Vjerujemo da se ovaj incident vjerojatno razlikuje od incidenta koji smo otkrili 22. rujna 2016.
Za potencijalno pogođene račune, ukradeni podaci o korisničkim računima mogu sadržavati imena, adrese e-pošte, telefonske brojeve, datume rođenja, šifrirane lozinke (koristeći MD5), au nekim slučajevima šifrirana ili nešifrirana sigurnosna pitanja i odgovore. Ispitivanje pokazuje da ukradene informacije nisu uključivale zaporke u jasnom tekstu, podatke o platnim karticama ili podatke o bankovnom računu. Podaci platnih kartica i podaci o bankovnim računima ne pohranjuju se u sustavu za koji tvrtka vjeruje da je utjecao.
Yahoo je također rekao da su hakeri uspjeli krivotvoriti "kolačiće" tvrtke za provjeru autentičnosti, omogućujući im pristup korisničkim računima bez potrebe za lozinkom:
Na temelju istrage koja je u tijeku, vjerujemo da je neovlaštena treća strana pristupila našem vlasničkom kodu kako bi naučila kako krivotvoriti kolačiće. Vanjski stručnjaci forenzike identificirali su korisničke račune za koje vjeruju da su krivotvoreni kolačići uzeti ili korišteni. Obavještavamo dotične vlasnike računa i poništavamo krivotvorene kolačiće. Neke smo aktivnosti povezali s istim glumcem koji je sponzoriran od strane države za koji se vjeruje da je odgovoran za krađu podataka koju je tvrtka otkrila 22. rujna 2016.
Ako imate Yahoo račun, vrijeme je da promijenite zaporku. Stvorite snažnu lozinku i osigurajte da se lozinka koju koristite na usluzi ne upotrebljava nigdje drugdje. Također biste trebali omogućiti dvofaktorsku provjeru autentičnosti za svoj Yahoo račun.
