Yahoo confirme le piratage de plus de 500 millions de comptes « soutenu par un État »

La découverte d’une violation massive des données utilisateurs touchant 200 millions de comptes était déjà inquiétante. Dans un communiqué publié le 22 septembre Yahoo évoque un piratage d’une tout autre envergure dépassant le demi-milliard de comptes affectés.

Une attaque soutenue par un Etat

Après enquête, Yahoo peut confirmer que le piratage de ses réseaux, fin 2014, concerne plus de 500 millions de comptes.

« Les informations de compte peuvent inclure les noms, adresse e-mail, numéro de téléphone, date de naissance, mots de passe hachés (la grande majorité avec bcypt) et, dans la plupart des cas les questions et réponses de sécurité chiffrées ou non », indique Yahoo dans son communiqué. Toutefois, la compagnie précise que le vol « n’inclut pas les mots de passe non protégés, les données de cartes de paiement ou les informations de comptes bancaires ». Ces derniers n’étaient pas stockés dans le système infecté.

En août dernier, un hacker (ou groupe de hackers) répondant au nom de « Peace » affirmait mettre à disposition sur le marché noir les informations d’identification de 200 millions d’utilisateurs Yahoo pour 3 bitcoins (soit un peu plus de 1 800 dollars ou 1600 euros environ selon le cours actuel).

Verizon pourrait revoir ses velléités d’achat

Sans confirmer l’information, Yahoo indiquait être « au courant de cette demande » et enquêter sur cette brèche découverte un mois plus tôt. Yahoo explique mener son enquête en collaboration avec les forces de l’ordre, mais ne détaille pas ce qui la porte à croire que le piratage est soutenu par un État. Une telle attaque, fomentée avec des moyens importants, amoindrirait peut-être la responsabilité de Yahoo aux yeux de Verizon.

Quoi qu’il en soit, le géant des télécommunications qui doit finaliser le rachat du groupe pour 4,8 milliards de dollars explique qu’il est désormais en train « évaluer ses intérêts » envers Yahoo.

Verizon says it’s now “evaluating its interests” with regards to Yahoo.

— Dave Lee (@DaveLeeBBC) 22 septembre 2016

Des mesures de sécurités tardives

Yahoo encourage tout utilisateur n’ayant pas changé son mot de passe depuis 2014 a le faire dans les plus brefs délais et fourni quelques conseils de sécurité élémentaires : changer les questions et réponses de sécurité pour la procédure de récupération de mot de passe sur tous les services où ces derniers sont similaires à ceux utilisés sur Yahoo (Flickr, par exemple), ne pas cliquer sur des liens ou télécharger des pièces jointes sur des e-mails suspects, etc.

Mieux vaut tard, que jamais !