Discussioni sulla computer security
 

500 milioni di account Yahoo compromessi

edevils 23 Set 2016 01:12
Dopo *due anni* (!!!) dall'evento (fine 2014), Yahoo ha fatto sapere che
il suo server è stato bucato.

Sarebbero coinvolti 500 milioni di account. Tra i dati rubati “nomi,
indirizzi email, numeri di telefono, date di nascita, password criptate
(la vasta maggioranza con bcrypt) e, in qualche caso, domande e risposte
di sicurezza criptate e in chiaro”

Se si ha un account yahoo (o del servizio collegato flickr), dunque,
meglio cambiare password, cambiare domande di sicurezza, e anche
cambiare password e domande se le si usa uguali su altri servizi.

Il cambio di password è tassativo se è rimasta la stessa dal 2014.

Una precedente violazione era avvenuta nel 2012.

Secondo alcuni, vista la caporetto, meglio lasciar perdere del tutto i
servizi Yahoo!
Gabriele - onenet 23 Set 2016 11:55
edevils wrote on 23/09/16 01:12:
> Dopo *due anni* (!!!) dall'evento (fine 2014), Yahoo ha fatto sapere che
> il suo server è stato bucato.
>
> Sarebbero coinvolti 500 milioni di account. Tra i dati rubati “nomi,
> indirizzi email, numeri di telefono, date di nascita, password criptate
> (la vasta maggioranza con bcrypt) e, in qualche caso, domande e risposte
> di sicurezza criptate e in chiaro”

Quindi non c'è modo di sapere se i proprio dati facessero parte di quelli
protetti con bcrypt oppure no.
Mi chiedo perché non usassero lo stesso sistema per tutti gli account.

>
> Se si ha un account yahoo (o del servizio collegato flickr), dunque,
> meglio cambiare password, cambiare domande di sicurezza, e anche
> cambiare password e domande se le si usa uguali su altri servizi.
>
> Il cambio di password è tassativo se è rimasta la stessa dal 2014.
>
> Una precedente violazione era avvenuta nel 2012.
>

Ah ecco questo mi interessava sapere, se si trattasse di una "nuova" incursione
con dati più recenti rispetto al 2012.

Gabriele
BIG Umberto 23 Set 2016 12:38
edevils in data 01:12, venerdì 23 settembre 2016, nel gruppo
it.comp.sicurezza.varie ha scritto:

> Dopo *due anni* (!!!) dall'evento (fine 2014), Yahoo ha fatto sapere che
> il suo server è stato bucato.
Bradiposi!

> Secondo alcuni, vista la caporetto, meglio lasciar perdere del tutto i
> servizi Yahoo!
Mah! Io direi proprio tutti di tutti.
Ormai i "defacement" sono all'ordine del giorno.
Da un po' cerco (nel limite del possibile) di tenere sempre svuotate le caselle
di posta sui server. In caso di defacement, non possono vedere molto!
Non ho mai dato dati reali e men che meno numeri telefonici.
Forse, dico forse, questa strategia si sta dimostrando utile.

--
+-------------------------------------------------------------------+
| Fatto adulterio, mentito, rubato. |
| Continuamente ******* toccato. |
| Fin dall'eta' di sei anni ero gia' condannato... |
| ...e divenuto un poco cecato (cit.) |
+-----#55--------------------------------------Verita'--------------+
Arne Saknussemm 27 Set 2016 09:48
On Fri, 23 Sep 2016 11:55:14 +0200
"Gabriele - onenet" wrote in it.comp.sicurezza.varie
<ns2u61$2ui6$2@newsreader2.mclink.it>:

> edevils wrote on 23/09/16 01:12:
>> Dopo *due anni* (!!!) dall'evento (fine 2014), Yahoo ha fatto
>> sapere che il suo server è stato bucato.
>>
>> Sarebbero coinvolti 500 milioni di account. Tra i dati rubati “nomi,
>> indirizzi email, numeri di telefono, date di nascita, password
>> criptate (la vasta maggioranza con bcrypt) e, in qualche caso,
>> domande e risposte di sicurezza criptate e in chiaro”

> Quindi non c'è modo di sapere se i proprio dati facessero parte di
> quelli protetti con bcrypt oppure no.

forse si, almeno in parte; potresti provare a controllare qui

https://haveibeenpwned.com/

da considerare anche che lo stesso servizio permette di controllare
eventuali account "bucati" per un intero dominio

https://haveibeenpwned.com/DomainSearch

in quel caso, il report verrà inviato ad uno degli indirizzi email
"istituzionali" del dominio (es. postmaster); ovviamente, nel caso di
indirizzi compromessi, resta valida la regola di cambiare la password
sia per quanto riguarda la mailbox, sia nel caso in cui la stessa sia
stata usata per altri servizi online dato che è relativamente facile
collegare un account email con altri servizi online o comunque provare
ad usare l'indirizzo e la password su alcuni dei servizi più noti

> Mi chiedo perché non usassero lo stesso sistema per tutti gli account.

meglio non chiederselo :P
Arne Saknussemm 27 Set 2016 09:50
On Tue, 27 Sep 2016 09:48:48 +0200
"Arne Saknussemm" wrote in it.comp.sicurezza.varie
<20160927094848.00003044@eternal-september.org>:

> On Fri, 23 Sep 2016 11:55:14 +0200
> "Gabriele - onenet" wrote in it.comp.sicurezza.varie
> <ns2u61$2ui6$2@newsreader2.mclink.it>:
>
>> edevils wrote on 23/09/16 01:12:
>>> Dopo *due anni* (!!!) dall'evento (fine 2014), Yahoo ha fatto
>>> sapere che il suo server è stato bucato.
>>>
>>> Sarebbero coinvolti 500 milioni di account. Tra i dati rubati
>>> “nomi, indirizzi email, numeri di telefono, date di nascita,
>>> password criptate (la vasta maggioranza con bcrypt) e, in qualche
>>> caso, domande e risposte di sicurezza criptate e in chiaro”
>
>> Quindi non c'è modo di sapere se i proprio dati facessero parte di
>> quelli protetti con bcrypt oppure no.
>
> forse si, almeno in parte; potresti provare a controllare qui
>
> https://haveibeenpwned.com/

a proposito https://twitter.com/haveibeenpwned?lang=en
Gabriele - onenet 27 Set 2016 11:51
Arne Saknussemm wrote on 27/09/16 09:48:
> On Fri, 23 Sep 2016 11:55:14 +0200
> "Gabriele - onenet" wrote in it.comp.sicurezza.varie
> <ns2u61$2ui6$2@newsreader2.mclink.it>:
>
>> edevils wrote on 23/09/16 01:12:
>>> Dopo *due anni* (!!!) dall'evento (fine 2014), Yahoo ha fatto
>>> sapere che il suo server è stato bucato.
>>>
>>> Sarebbero coinvolti 500 milioni di account. Tra i dati rubati “nomi,
>>> indirizzi email, numeri di telefono, date di nascita, password
>>> criptate (la vasta maggioranza con bcrypt) e, in qualche caso,
>>> domande e risposte di sicurezza criptate e in chiaro”
>
>> Quindi non c'è modo di sapere se i proprio dati facessero parte di
>> quelli protetti con bcrypt oppure no.
>
> forse si, almeno in parte; potresti provare a controllare qui
>
> https://haveibeenpwned.com/
>
> da considerare anche che lo stesso servizio permette di controllare
> eventuali account "bucati" per un intero dominio
>
> https://haveibeenpwned.com/DomainSearch
>

[cut]


Già fatto da molto tempo e anche donato :-)

A proposito, c'è un altro sito (https://www.leakedsource.com) che a pagamento
ti dice (dovrebbe) anche il contenuto dei dati sottratti e questo sarebbe anche
più utile, però sinceramente non so quanto fidarmi.

Gabriele
edevils 27 Set 2016 12:29
On 27/09/2016 11:51, Gabriele - onenet wrote:
...
> A proposito, c'è un altro sito (https://www.leakedsource.com) che a
> pagamento ti dice (dovrebbe) anche il contenuto dei dati sottratti e
> questo sarebbe anche più utile, però sinceramente non so quanto fidarmi.


Cioè forniscono i tuoi dati (quelli carpiti dagli *****eraggi, si
intende) a chiunque paghi?

Links
Giochi online
Dizionario sinonimi
Leggi e codici
Ricette
Testi
Webmatica
Hosting gratis
   
 

Discussioni sulla computer security | Tutti i gruppi | it.comp.sicurezza.varie | Notizie e discussioni sicurezza varie | Sicurezza varie Mobile | Servizio di consultazione news.