500 milhões de contas Yahoo comprometidas

A Yahoo reportou na última quinta feira um ciberataque envolvendo informação pessoal de pelo menos 500 milhões de utilizadores, constituindo a maior violação de dados da história da Internet. A informação inclui nomes,  endereços de e-mail, números de telefone, datas de nascimento, passwords encriptadas, e em alguns casos perguntas e respostas de segurança, mas não dados bancários.

A Reuters reportou que três agentes de inteligência dos Estados Unidos, não identificados, afirmam acreditar que o ataque tenha sido financiado por um estado-nação devido a semelhanças com hacks prévios ligados a agências de inteligência russas. Isto suporta a alegação da Yahoo de que a informação foi furtada por quem crêm ser “um atuador afiliado com um estado-nação”, apesar da companhia não especificar que país acredita ser responsável. O FBI confirmou estar a investigar a alegação.

O ataque ocorreu em 2014, mas foi apenas agora tornado público; as notícias de um potencial ataque em larga escala emergiram em agosto, quando um hacker conhecido como "Peace" tentou, aparentemente, vender dados de 200 milhões de utilizadores da Yahoo. O número revelou-se agora muito maior do que originalmente imaginado: a escala do ataque eclipsa outras recente ocorrências, como os caso do Myspace, LinkedIn, e Adobe

A Verizon, que no passado mês de julho concordou em comprar a Yahoo por 4,8 mil milhões de dólares, afirma ter tomado conhecimento do hack “ao longo dos últimos dias” e não estar na posição de comentar devido a falta de informação.

“Iremos avaliar a situação à medida que a investigação continua, tendo em consideração os consumidores, clientes, acionistas, e comunidades relacionadas".

Nikki Parker, vice-presidente da companhia de segurança Covata, comenta que “é provável que a Yahoo venha a estar sob intenso escrutínio da parte de entidades reguladoras, dos media e do público, e com toda a razão. As coorporações não se podem desresponsabilizar por quebras de segurança, e devem mostrar-se comprometidas a resolver o problema".

Acrescentou também: “Esperemos que a tinta já esteja seca no contrato com a Verizon".

Este ataque serve para lembrar o quão comuns são as violações de informação, e realça a vulnerabilidade inerente ao uso de passwords.

 “Os cibercriminosos sabem que os utilizadores tendem a usar a mesma password em vários websites e aplicações, razão pela qual estes milhões de credenciais são tão uteis à fraude", afirma Brett McDowell, diretor executivo da FIDO Alliance, um consórcio da indústria que supervisa o desenvolvimento e segurança de métodos de creditação alternativos à password. “Precisamos de lhes retirar este recurso, e a única maneira de o fazer é deixando de depender de passwords completamente".

A Yahoo tomou medidas para proteger os seus utilizadores, incluindo a invalidação de perguntas e respostas de segurança, mas o risco maior está mesmo no uso das passwords já adquiridas em outros websites.

“Tipicamente verificamos uma taxa de sucesso de 0.1 a 2 por cento em ataques que usam credenciais obtidas em outros sites, o que significa que um hacker com acesso a 500 milhões de passwords terá a capacidade de aceder a dezenas de milhares de contas", afirma Shuman Ghosemajumder, antigo especialista de fraude online da Google e CTO da Shape Security.

Jeremiah Grossman, antigo agente de segurança de informação da Yaahoo e corrente chief of security strategy da SentinelOne, afirma que organizações de Internet, em especial gigantes como a Yahoo, encaram desafios na proteção das redes de computadores de grandes dimensões pelas quais são responsáveis, uma vez que estas apresentam inúmeros pontos de entrada para potenciais atacantes.

“Violações de informação, mesmo nesta escala, não são surpreendentes. A Yahoo certamente não é a primeira. E não será a última”, comenta Jeremiah Grossman.

De acordo com a BBC, o ataque à Yahoo levou já a utilizadores serem atacados por hackers. Ali Attas, escritor e jornalista residente no Japão, relata entrar na sua conta de e-mail e descobrir que tudo o que havia enviado e recebido nos últimos vinte anos havia desaparecido, incluindo contactos, manuscritos e correspondência com editoras. “Perdi centenas de contactos e muito material sensível. Um histórico de vinte anos completamente arrasado", revela.

A Yahoo aconselha os utilizadores a mudarem de password se não o tiverem feito desde 2014. A companhia tem, de momento, mil milhões de utilizadores ativos por mês em todos os seus serviços de Internet, que vão de finanças e online shopping a desportos de fantasia, e um quarto destes utilizam os serviços de e-mail.