Ricordate la violazione dei server di Yahoo avvenuta nel 2013 ma emersa soltanto più di recente?

Inizialmente pareva che fossero stati compromessi 200 milioni di account; poi il numero è salito a mezzo miliardo; infine si è scoperto che gli account violati erano un miliardo.

Pareva che fosse finita lì, con una brutta situazione che aveva coinvolto addirittura un terzo degli utenti di Yahoo.

Per approfondire:

Buone azioni e serrature ridicole

Yahoo Answers chiude i battenti per sempre

Per violare Yahoo è bastato un clic

Yahoo violata, colpiti 1 miliardo di utenti

Invece le cose stanno molto peggio: l'azienda di Sunnyvale stessa, che da quest'anno è parte di Verizon, ha aggiornato la pagina relativa all'attacco e ha ammesso che gli account violati sono ben 3 miliardi. In altre parole, tutti gli utenti sono stati coinvolti.

Gli autori dell'attacco sono entrati in possesso di nomi, indirizzi email, numeri di telefono, date di nascita, hash MD5 delle password e, in qualche caso «domande di sicurezza, e relative risposte, in forma crittografata e no».

Fin a oggi, sebbene il numero degli account compromessi fosse altissimo, pareva che la maggior parte degli utenti di Yahoo fosse rimasta al sicuro.

Invece, ora emerge che chiunque avesse un account Yahoo nel 2013 è coinvolto nell'accaduto.

Pertanto, anche quanti a suo tempo non hanno cambiato la password del proprio account faranno bene a correre ai ripari e magari attivare anche l'autenticazione a due fattori: è un classico esempio di "chiudere la stalla dopo che i buoi sono scappati", ma la colpa in questo caso è tutta di Yahoo.

Se poi la medesima password è usata altrove, sarà bene cambiarla anche presso quei servizi: la crittografia MD5 non è considerata molto robusta, quindi non è del tutto impossibile che chi è entrato in possesso degli hash non sia riuscito a risalire alla password originale.

Infine, è bene ricordare che l'attacco del 2013 va distinto da quello del 2014, condotto sempre ai danni di Yahoo, e che ha portato alla violazione di 500 milioni di account.