Yahoo confirme le piratage d’un milliard de comptes supplémentaires

Alors que sa vente par Verizon semble repoussée aux calendes grecques, Yahoo enchaîne les déconvenues. Après la révélation d’un piratage de grande ampleur en septembre dernier, mais datant de 2014 et supposément soutenue par un État, la firme a dévoilé ,ce 14 décembre, le vol des données utilisateurs d’un milliard de comptes : noms, prénoms, adresses électroniques, numéro de téléphone, date de naissance, questions et réponses de sécurité chiffrées ou non ainsi que mots de passe hachés (avec l’algorithme MD5) ont été dérobés.

Les mots de passe en clair, les données de carte de paiement ou bancaires ne sont pas inclus dans le butin. Le forfait pourrait avoir été réalisé grâce à la création de cookies falsifiés qui accèdent aux comptes sans avoir besoin de mots de passe. Pour cela, la tierce partie aurait accédé au code propriétaire de Yahoo “pour apprendre à falsifier les cookies“, précise la firme.

Deuxième piratage massif pour Yahoo

Ce piratage massif arrive au plus mal alors que Yahoo tente tant bien que mal de finaliser son rachat par Verizon pour 4,6 milliards d’euros. Après la révélation du premier piratage, des rumeurs avaient fait état d’une demande de ristourne d’un milliard du géant des télécommunications US.

Sans confirmer cette requête, Verizon se laissait le droit de retirer son offre : « Nous allons passer en revue l’impact de ce nouveau développement avant de tirer des conclusions définitives ». Gageons que cette nouvelle annonce ne va pas faire les affaires de Yahoo.

La firme n’a pas identifié l’attaquant, si l’incident est différent de celui révélé en septembre dernier, une partie au moins peut est reliée à l’attaque. Après l’annonce, le titre a perdu 2.5 % de sa valeur.

Une sécurité prise à défaut

Et la sécurité dans tout ça ? Si Yahoo se targue de proposer un chiffrement renforcé (de bout-en-bout) sur ses services depuis 2015, force est de constater que la technologie mise en place avant ça était loin d’être infaillible. Le groupe assure avoir alerté les utilisateurs potentiellement touchés par l’attaque et précise avoir pris des mesures pour sécuriser ses services et comptes.

Si vous êtes détenteur d’un compte Yahoo datant d’au moins 2013, la meilleure solution est encore de changer votre mot de passe le plus rapidement possible. De même, si vous utilisez le même mot de passe pour d’autres services, il est recommandé d’en changer surtout si vous ne l’avez pas fait depuis un moment.

D’autres moyens existent pour sécuriser son compte : vérification à deux facteurs (mot de passe + SMS envoyé sur le téléphone) ou question secrète en cas de demande de récupération du mot de passe. Pensez d’ailleurs à la changer régulièrement et/ou choisissez la de telle sorte que la réponse ne soit connue que de vous.