Yahoo Breach probabilmente non comprenderà le carte di credito

È di nuovo tempo di cambiare la password.

L'annuncio di Yahoo secondo cui un "attore sponsorizzato dallo stato" avrebbe rubato dati, potenzialmente includendo password nascoste, da mezzo miliardo di account alla fine del 2014 rappresenta una delle più grandi violazioni di sicurezza mai rivelate. Le "buone" notizie - se possiamo chiamarlo così - sono che le password sono state nascoste e che l'hack non sembra avere direttamente coinvolto carte di credito o conti bancari, secondo l'annuncio di Yahoo.

Gli account con carta di credito probabilmente non saranno interessati. Ma "probabilmente" non è "certamente". Se tendi a riutilizzare le password su più siti, ora è il momento di smettere e di cambiare quelle password. E Yahoo sta ancora incoraggiando le persone a controllare i loro rapporti di credito.

Non un altro obiettivo

Quando senti "violazione dei dati", potresti pensare a cosa è successo a Target nel 2013. Sono stati colpiti circa 70 milioni di clienti e - peggio - sono stati rubati 40 milioni di numeri di carte di credito. Di conseguenza, milioni di clienti hanno dovuto preoccuparsi di attività fraudolente sulle loro carte.

La violazione di Yahoo è circa sette volte più grande di quella Target, ma per i consumatori interessati non è sette volte peggiore.

La differenza ha a che fare con ciò che è stato rubato. Nel caso di Yahoo, le informazioni rubate includevano nomi, indirizzi e-mail, numeri di telefono, date di nascita, password nascoste e, in alcuni casi, domande e risposte di sicurezza sia in chiaro che crittografate, secondo un comunicato stampa dell'azienda. Yahoo rileva inoltre che le indagini in corso suggeriscono che "le informazioni rubate non includevano password non protette, dati di carte di pagamento o informazioni sul conto bancario".

Le password erano anche "hash", secondo Yahoo. Ciò significa che sono stati sottoposti a una "funzione matematica che converte una stringa originale di dati in una stringa di caratteri apparentemente casuale", secondo Yahoo.

Segni di un possibile trucco sono emersi all'inizio di questa estate sulla "rete oscura" - uno spazio di Internet irraggiungibile dai motori di ricerca, dove i rapporti illegali possono passare inosservati. Un hacker ha cercato di vendere quello che era presumibilmente 200 milioni di account Yahoo per 3 bitcoin, o circa $ 1.860, Motherboard segnalato in agosto. Questo è sul lato economico, se si considera che le credenziali di accesso per le banche di tutto il mondo vanno per "tra US $ 200 e US $ 500 per account" in marketplace come questi, secondo un white paper di Trend Micro.

Cosa potrebbe accadere

Le credenziali rubate nella violazione di Yahoo non sono così preziose fintanto che le password sono nascoste. Ma c'è ancora il rischio che gli hacker possano raccogliere più informazioni dalla violazione di quanto pensiamo.

Prendi le password, per esempio. Quando le password vengono sottoposte a hash, sono essenzialmente inutili. Ma è possibile che gli hacker possano "disapprovare" tali password, afferma Al Pascual, vicepresidente senior e responsabile della frode e della sicurezza di Javelin Strategy & Research.

"Esistono software come Hashcat e John the Ripper che sono progettati per decifrare le password", afferma Pascual. "Ci vuole tempo e potenza di elaborazione, e anche allora non tutte le password sono in genere decifrate."

Se gli hacker riuscivano a sfatare alcune password, potevano eseguire script per colpire il maggior numero possibile di siti Web per vedere dove funzionavano quelle password, dice Pascual. Ciò potrebbe influire sui consumatori che utilizzano la stessa password per ogni account.

Anche se ciò si è dimostrato efficace, gli hacker probabilmente non sarebbero in grado di ottenere i tuoi conti finanziari. Le principali banche ed emittenti dispongono di un software di sicurezza che blocca gli utenti dopo più tentativi di accesso falliti. Tuttavia, Pascual dice che alcuni emittenti minori non hanno questa capacità.

Le truffe di phishing sono un altro potenziale risultato della violazione, e una che Yahoo sta anticipando. La società ha sottolineato che l'e-mail inviata a coloro che sono stati colpiti dalla violazione "non ti chiede di fare clic su alcun link o contenere allegati e non richiede le tue informazioni personali" - richieste che sono tattiche comuni nelle e-mail di phishing. I dati della tua carta di credito potrebbero non essere direttamente interessati dalla violazione di Yahoo, ma potrebbero essere compromessi se fornisci le credenziali di accesso a qualcuno che finge di essere Yahoo via email.

" DI PIÙ: I truffatori vogliono i tuoi punti di credito

Cosa fare al riguardo

Se hai ricevuto notifica da Yahoo che sei stato colpito dalla violazione, qui ci sono tre cose che puoi fare per prevenire potenziali frodi sulle tue carte di credito e altri account:

1. Cambia le tue password. "Le persone tendono a non aggiornare le loro password a meno che non debbano farlo", dice Pascual. Gli hacker lo vedono come una grande opportunità. Quindi, se usi la stessa password per tutti i tuoi account, non aggiorna semplicemente la tua password Yahoo - aggiorna anche le altre password. Per lo meno, assicurati che le password che usi sulla carta di credito e sui conti bancari non siano le stesse che usi su siti web che sembrano disegnati dal sesto anno nel 1999.
2. Leggi attentamente le email. Non rispondere alle e-mail che pretendono di provenire da Yahoo - o qualsiasi altra società, se è per questo - se ti chiedono di fornire una password, un nome utente o altre informazioni personali, o ti chiedono di fare clic su un link.I truffatori utilizzano e-mail urgenti come queste per ottenere informazioni preziose dai consumatori ignari.
3. Controlla il tuo rapporto di credito e conti finanziari. Anche se la violazione di Yahoo non includeva i dati finanziari, "ti incoraggiamo a rimanere vigili esaminando gli estratti conto e monitorando i tuoi rapporti di credito", secondo una dichiarazione della società.

È possibile ottenere un rapporto di credito gratuito una volta all'anno da ciascuno dei tre principali bureau di credito: Experian, Equifax e TransUnion. Vai a AnnualCreditReport.com. Se rilevi segni di frode sul conto della tua carta di credito, ad esempio acquisti non familiari, chiama subito l'emittente e segnalalo. La legge limita fortemente la tua responsabilità finanziaria in caso di frodi bancarie e frodi con carte di credito. Anche se la tua carta di credito è influenzata indirettamente da questa violazione, probabilmente non dovrai pagare per questo.

Claire Tsosie è una scrittrice di Investmentmatome, un sito di finanza personale. Email: [email protected]. Twitter: @ ideclaire7.