500 milioni di account Yahoo sono stati violati

Almeno 500 milioni di account di utenti di Yahoo sono stati violati da un attacco informatico subito nel 2014. La notizia era stata anticipata dal sito di informazione Recode nel pomeriggio del 22 settembre, sulla base di alcune fonti interne all’azienda, ed è stata in seguito confermata da Yahoo con un comunicato stampa, probabilmente proprio in seguito alle anticipazioni di Recode e alla necessità di chiarire lo stato della società in vista della vendita di buona parte delle sue attività all’operatore telefonico statunitense Verizon.

Yahoo ha spiegato che il furto è avvenuto nel 2014 e ha riguardato informazioni personali degli account come numeri di telefono, date di nascita e in alcuni casi risposte alle domande di sicurezza per sbloccare gli account. Nel comunicato si dice che il furto non ha riguardato dati come coordinate bancarie o numeri di carte di credito. Yahoo sta avvisando gli utenti il cui account è stato violato, e ha disattivato le domande di sicurezza per accedere agli account interessati; ha inoltre suggerito di cambiare la password ai suoi utenti che non l’hanno modificata negli ultimi due anni. Oltre al cambio della password, ci sono anche altre cose che è utile fare subito, senza aspettare gli avvisi che Yahoo ha detto invierà nei prossimi giorni agli utenti coinvolti.

Yahoo sostiene che il responsabile della violazione sia stata «un’entità appoggiata da uno stato», ma senza dare ulteriori dettagli e prove a sostegno di questa ipotesi. Le prime notizie sulla violazione erano circolate in agosto, quando Yahoo aveva confermato un’indagine per verificare l’attendibilità di un hacker che sosteneva di avere ottenuto dati su 200 milioni di iscritti al suo servizio. In quell’occasione Yahoo non aveva fornito ulteriori dettagli sulla violazione. L’hacker in questione, che si fa chiamare “Peace”, in passato aveva già cercato di vendere dati sottratti a MySpace e LinkedIn.

Fonti interne hanno spiegato a Recode che la CEO dell’azienda, Marissa Mayer, in passato non ha gestito in modo appropriato diversi altri problemi di sicurezza, seppure meno gravi rispetto a quello del 2014. E proprio due anni fa l’esperto di sicurezza informatica, e all’epoca dipendente di Yahoo, Alex Stamos fece forti pressioni nei confronti dei dirigenti di Yahoo per fare subito qualcosa sulla sospetta violazione di centinaia di milioni di account, ma fu sostanzialmente ignorato. Stamos ha lasciato Yahoo a metà del 2015 e ora lavora come capo della sicurezza informatica a Facebook.

La conferma di una violazione così estesa degli account potrebbe causerà probabilmente nuovi guai a Yahoo, in un momento molto delicato per il suo futuro che sta comprendendo la cessione di buona parte delle sue attività all’operatore telefonico statunitense Verizon per 4,8 miliardi di dollari. Potrebbero esserci inoltre problemi legali per Yahoo per avere atteso diverse settimane prima di confermare la violazione, senza nel frattempo invitare i suoi utenti a modificare le password, come avviene di solito in queste circostanze.