Per violare Yahoo è bastato un clic

Quello avvenuto ai danni di Yahoo, e che all'azienda è costato il deprezzamento durante l'acquisizione da parte di Verizon, è stato uno dei furti di dati più gravi mai accaduti.

Per realizzarlo, però, non sono servite tecniche avanzate o sofisticati sistemi di spionaggio: ai criminali è bastato che la persona giusta facesse clic su un certo link arrivatole via email.

Secondo quanto rivelato dall'FBI, nel 2014 due hacker (Alexsey Belan and Karim Baratov) assunti da due spie russe dell'FSB (Dmitry Dokuchaev and Igor Sushchin) hanno iniziato a inviare email di spear phishing, ad alcuni impiegati di medio livello di Yahoo.

Leggi anche:

Buone azioni e serrature ridicole

Vodafone, sottratti oltre 300 GB di dati degli utenti

Yahoo Answers chiude i battenti per sempre

Yahoo violata, colpiti 1 miliardo di utenti

Lo spear phishing è del tutto analogo al phishing, ma ha una particolarità: mentre i messaggi di phishing sono inviati a destinatari sconosciuti, generalmente nel corso di massicce campagna, lo spear phishing prende di mira bersagli precisi.

I messaggi vengono confezionati con cura, magari avendo raccolto in precedenza informazioni sulle vittime, cosicché l'inganno sia credibile.

È quindi bastato che uno dei destinatari cascasse nel tranello e cliccasse sul link fornito nel messaggio o aprisse l'allegato per dare accesso agli hacker alla rete interna di Yahoo.

Una volta dentro, i due criminali sono riusciti a raggiungere il database che contiene le informazioni personali su tutti gli utenti di Yahoo e a ottenere l'accesso allo strumento usato per modificare il database.

Usando semplicemente un client FTP, Alexsey Belan ha quindi scaricato il database: dentro, per ciascun utente c'erano il nome, il numero di telefono, la domanda di sicurezza con relativa risposta, l'indirizzo email per il recupero della password e un identificativo crittografico univoco (nonce).

In questo modo Belan e Baratov sono riusciti ad accedere agli account email di alcuni precisi utenti Yahoo, quelli indicati dalle spie che li avevano assoldati: si tratta di circa 6.500 account che sono stati usati illecitamente tra il 2015 e il 2016 e i cui proprietari erano personalità russe e americane, sia del settore governativo che di quello privato.

Intanto, però, anche i dati degli utenti cui le spie non erano interessati sono stati sottratti: eppure soltanto nel 2016, quando le credenziali rubate sono finite in vendita nel dark web, Yahoo s'è sentita in dovere di rivelare l'accaduto.

Karim Baratov è stato arrestato nel marzo di quest'anno a Toronto, mentre Alexsey Belan e le due spie sono tornati in Russia. Il governo americano ha chiesto a quello russo che siano consegnati per essere incriminati, ma la mancanza di un trattato di estradizione tra i due Paesi complicherà le cose.