1 miliardo di account rubati: cosa devi fare subito se sei un utente Yahoo
Yahoo ancora sotto attacco. Dopo l’annuncio di settembre scorso legato a una falla del 2014 che ha coinvolto circa 500 milioni di utenti, nelle scorse ore si è scoperto che un altro attacco contro Yahoo ha prodotti risultati ancora più gravi e preoccupanti. La società guidata da Marissa Mayer, vicina a essere acquisita da Verizon (ma chissà ancora per quanto a questo punto), ha infatti comunicato che alcuni file scovati online con informazioni sugli utenti di Yahoo contengono effettivamente dati reali collegati a iscritti al sito.
Partendo da questi file, Yahoo ha stabilito che nell’agosto del 2013 sono stati sottratti dai propri server informazioni per oltre un miliardo di account; la violazione è quindi distinta da quella avvenuta nel 2014 e, numeri alla mano, ancora più grave e imponente.
Gli hacker hanno sottratto informazioni personali come nomi, indirizzi di email, numeri telefonici, date di nascita, password (cifrate) e in alcuni casi anche la sequenza delle domande di sicurezza usate per identificare gli utenti che perdono le proprie password. A quanto pare però le informazioni finanziarie (numeri di conto correnti bancari e di carte di credito) non rientrerebbero tra i dati sottratti.
Tornando invece all’hacking del 2014 annunciato a settembre, le indagini di Yahoo avrebbero confermato come a eseguire l’attacco siano stati hacker organizzati politicamente e non mossi da intendi criminali a sfondo economico. A rendere possibile l’attacco di due anni fa è stata una strategia in grado di sottrarre codice proprietario di Yahoo per capire come creare da zero cookie apparentemente leciti, poi utilizzati per accedere agli account di utenti Yahoo senza la necessità di inserire alcuna password.
Come già accennato poco sopra, questa nuova tegola caduta in testa a Yahoo renderà ancora più complesse le trattative con Verizon, che già a settembre aveva comunicato l’intenzione di voler rinegoziare l’acquisto di Yahoo proprio in seguito all’annuncio dell’attacco. Logico quindi supporre che la scoperta delle scorse ore avrà non poche conseguenze sul già difficile e tormentato processo di acquisizione.
Cosa fare subito per proteggere il proprio account Yahoo!
Yahoo sta spedendo a tutti gli account interessati dalla violazione un’email che contiene informazioni e consigli utili, a cui ne aggiungiamo qualcuno noi. Il primo di tutti, apparentemente paradossale, è…
1. Non fidatevi delle email che sembrano arrivare da Yahoo!
Potrebbe infatti trattarsi di un tentativo di phishing che mira a farvi inserire alcune informazioni mancanti, o farvi credere di essere al sicuro. Il testo dell’email inviata agli utenti contiene un solo link verso il servizio Security Update (https://yahoo.com/security-update), che viene ridiretto alla pagina specifica dell’incidente odierno. Il testo dell’email originale di Yahoo! è disponibile qui in Italiano, e qui in Inglese. Non seguite nessun altro link e non fidatevi di alcuna altra comunicazione da Yahoo!
Il testo dell’email inviata da Yahoo! agli utenti colpiti dalla violazione. Non bisogna fidarsi di alcuna altra comunicazione al momento.
2. Cambiate la password dell’account Yahoo!
Se non lo avevate già fatto negli ultimi mesi, a seguito delle precedenti notizie sulle violazioni degli account Yahoo!, cambiate la vostra password dell’account Yahoo a partire da questa pagina, scegliendone una robusta (qui trovate un generatore di password casuali).
La pagina da cui è possibile cambiare la password di Yahoo! e attivare la verifica in due passaggi.
3. Attivate la protezione in due passaggi
Dalla stessa pagina, scegliete di attivare la Verifica in due passaggi (autenticazione a due fattori), inserendo il vostro numero di cellulare (se ne avete già registrato uno, potrebbe essere meglio sostituirlo con uno diverso, nonostante il giustificato timore che si può avere nel consegnare a Yahoo! un’ulteriore informazione riservata, visti i trascorsi).
Una volta attivata questa funzione, ogni volta che accederete a Yahoo! usando un nuovo dispositivo, dovrete autorizzarlo inserendo un codice di quattro cifre che vi verrà inviato con un SMS.
4. Verificate che non siano avvenute attività sospette
All’indirizzo https://login.yahoo.com/account/activity potete trovare un elenco delle ultime postazioni da cui vi siete collegati, e le date delle recenti modifiche al vostro account, compresi i cambiamenti di password. Se notate qualcosa di strano, notificatelo a Yahoo! e valutate se sporgere una denuncia per mettervi al riparo da eventuali conseguenze (acquisti non autorizzati o reati commessi con il vostro indirizzo).
Se notate accessi da dispositivi e browser non usati, o luoghi in cui non siete stati, probabilmente il vostro account è stato violato.
5) Cambiate le risposte alle domande di sicurezza (sugli altri servizi)
Le domande di sicurezza sono un modo assai poco sicuro per consentire agli utenti di recuperare la password o compiere altre operazioni delicate sull’account. Durante la registrazione, vengono fatte alcune domande, come il nome da nubile della propria madre, il nome dell’animale domestico o la squadra del cuore.
Le risposte inserite, verranno usate in seguito per autorizzare i cambiamenti. Queste informazioni però possono essere recuperate facilmente consultando il nostro profilo social, o con una minima conoscenza della vittima.
Da tempo Yahoo! non utilizza più questo sistema, ma le vostre risposte inserite al momento della registrazione fanno parte dei contenuti trafugati, per cui se avete usato le stesse risposte nella registrazione su altri servizi, siete a rischio. Controllate i servizi più importanti a cui siete iscritti e cambiate la risposte alle domande di sicurezza con valori falsi e non individuabili (per esempio, il vostro cucciolo potrebbe chiamarsi “97[Hu3VDs5”) che annoterete su un foglietto o in un portachiavi cifrato per password.
6) Valutate di chiudere l’account Yahoo! e passare a servizi più sicuri
C’è stato un tempo in cui chiunque aveva un account Yahoo!, principalmente per i servizi di Email, messaggistica, bookmark e i servizi personalizzati del “portale”, ma quel tempo è passato. I motivi più validi per avere un account Yahoo! al momento sono probabilmente Flickr e Tumblr. Se non siete utenti di quei servizi, valutate la possibilità di chiudere l’account e passare ad altri fornitori.
Se usate con soddisfazione Flickr o Tumblr, potete decidere di usare l’account Yahoo! solo per accedervi ma portare le vostre email e ogni informazione sensibile da un’altra parte. L’entità delle violazioni e la loro durata nel tempo (parliamo di infiltrazioni durate anni), fanno davvero dubitare della sicurezza dell’intera infrastruttura.
7) Spargete la voce
Informate i vostri amici, colleghi e conoscenti che possono essere utenti Yahoo! Non è solo un lodevole atto di altruismo, ma servirà a rendere più sicuri anche voi stessi. Se gli account dei vostri amici non sono sicuri, anche le comunicazioni che avete scambiato con loro sono a rischio, e potreste ricevere da loro messaggi contenenti malware o tentativi di phishing.
Se ritenete che questo articolo vi sia stato utile, condividetelo sui social o inviate un link via email.
