Alcune settimane fa, Yahoo ha confermato una seconda violazione dei propri server avvenuta nel 2013 ed ora la società ne ha annunciata una terza, registrata tra il 2015 e il 2016. Quest’ultima ha coinvolto 32 milioni di account utente di Yahoo, violati attraverso l’uso di cookie contraffatti, creati per entrare in un profilo senza bisogno di conoscere la password. A rendere grave questo terzo attacco è che gli hacker sono stati in grado di violare account senza nemmeno aver bisogno della password degli utenti.

Yahoo si è difesa spiegando che non è una novità di oggi questo terzo attacco, essendo stato riportato lo scorso ottobre in un documento depositato presso la SEC (la Consob statunitense), solo che questi documenti vengono letti poco e per questo siamo qui a trattare l’argomento ora che la società ha divulgato la cifra di profili interessati (32 milioni). Nel documento depositato, Yahoo ha scritto che i cookie usati per violare gli account degli utenti erano stati invalidati in modo da non poter essere più usati per validare il login.

Questo terzo attacco ha coinvolto 32 milioni di account, una cifra irrisoria se confrontata con il miliardo di profili violati nell’attacco del 2013 – ma sempre di attacco hacker si tratta, tuttavia, portando alla luce le scarse difese che c’erano (o ci sono?) sui server della società.

"Nei mesi tra novembre e dicembre 2016, abbiamo rivelato che esperti forensi esterni su nostra richiesta stavano indagando la creazione di cookie creati per consentire ad un intruso di accedere agli account degli utenti senza una password", ha spiegato Yahoo. "Sulla base delle indagini, riteniamo che un terzo non autorizzato avrebbe potuto entrare in un profilo senza bisogno di conoscere la password. Gli esperti forensi esterni hanno identificato circa 32 milioni di account utente per i quali si ritiene sono stati utilizzati dei cookie contraffatti nel 2015 e 2016" ha comunicato Yahoo.

"Crediamo che alcune di queste attività siano collegate allo stesso attaccante sponsorizzato da uno Stato ritenuto responsabile dell’attacco del 2014" ha detto la società riferendosi all’attacco hacker del 2014 in cui sono stati coinvolti almeno 500 milioni di utenti di Yahoo. La società poi tranquillizza: "I cookie creati sono stati invalidati dalla Società in modo che non possano essere utilizzati per accedere agli account utente".

Della violazione del 2014 si sono saputi i dettagli solo nel mese di settembre, ed ha coinvolto 500 milioni di account. Questo non deve essere confuso con l’incidente di sicurezza del 2013, divulgato nel mese di dicembre, che aveva compromesso più di un miliardo di account.

A questo punto l’accordo del valore di 4.83 miliardi di dollari con Verizon che ha accettato di acquistare le proprietà di base di Yahoo nel mese di luglio 2016 è ancora valido, ma Verizon ha abbassato la sua offerta a 350 milioni di dollari.

Yahoo dovrebbe notificare gli utenti interessati dall’attacco, giusto per conoscenza. Infatti, in questo caso, al contrario dei precedenti, cambiare la password del proprio account Yahoo, anche se colpiti, non dovrebbe essere necessario, dato che gli hacker risulta che abbiano utilizzato dei cookie creati per entrare nell’account senza bisogno di password – la prudenza non è mai troppa, ed è comunque buona cosa aggiornare la password.