Yahoo advarer brukere om brudd på kontoer relatert til nylige angrep

Yahoo har begynt å advare enkeltbrukere om at deres kontoer med tjenesten kan ha blitt kompromittert i et enormt datainnbrudd det rapporterte sent i fjor.

Advarselen, i e-postmeldinger sendt fra Yahoo CISO Bob Lord, forteller brukerne at en smidd informasjonskapsel kan ha blitt brukt til å få tilgang til kontoene sine i tidligere år.

Advarselen til Yahoo-brukere kommer samtidig som nyhetsmeldinger antyder at Verizon Communications, i forhandlinger om å kjøpe Yahoo, kanskje søker en rabatt på USD 250 millioner på grunn av datainnbruddene.

I desember rapporterte Yahoo at data knyttet til mer enn 1 milliard brukerkontoer ble stjålet i august 2013. Mindre enn tre måneder tidligere rapporterte selskapet om et eget datainnbrudd som berørte mer enn 500 millioner brukere som opprinnelig skjedde i slutten av 2014.

I en ny advarsel til brukere som ble sendt onsdag, sa Yahoo at det forfalskede cookie-problemet tillot hackere å få tilgang til brukerkontoer uten passord. Selskapet koblet problemet til bruddet det rapporterte i september.

"Basert på den pågående undersøkelsen, tror vi en smidd informasjonskapsel kan ha blitt brukt i 2015 eller 2016 for å få tilgang til kontoen din," heter det i den nye e-posten fra Yahoo. "Vi har koblet en del av cookie-smieaktiviteten til den samme statsstøttede aktøren som antas å være ansvarlig for datatyveriet vi avslørte 22. september 2016."

Yahoo har ikke identifisert den statssponserte skuespilleren. Den nye e-posten ble sendt til brukere hvis kontoer ble brutt i det som tilsynelatende var et generelt angrep. Enkeltbrukere som ser ut til å ha blitt spesifikt målrettet av den statssponserte skuespilleren fikk tilsendt en ekstra varsel.

Yahoo anbefalte at brukere gjennomgår kontoene sine for mistenkelig aktivitet, var forsiktig med uønsket kommunikasjon som ber om personlig informasjon, og unngå å klikke på lenker eller laste ned vedlegg fra mistenkelige e-postmeldinger. Selskapet ba brukere vurdere å ta i bruk Yahoo Account Key, et autentiseringsverktøy som eliminerer behovet for et passord.

"Vi ugyldiggjorde forfalskede informasjonskapsler og herdet systemene våre for å sikre dem mot lignende angrep," sa Yahoo i den nye e-posten. "Vi forbedrer kontinuerlig våre sikkerhetstiltak og systemer som oppdager og forhindrer uautorisert tilgang til brukerkontoer."

Bli med i Network World-samfunnene på Facebook og LinkedIn for å kommentere temaer som er uten oppmerksomhet.