Yahoo Violation ne compromettra probablement pas les cartes de crédit

C'est encore l'heure du changement de mot de passe.

L’annonce par Yahoo d’un «acteur parrainé par l’État» qui avait volé des données, y compris potentiellement des mots de passe cachés, d’un demi-milliard de comptes à la fin de l’année 2014 représente l’une des plus grandes violations de la sécurité de ce type jamais révélée. La "bonne" nouvelle - si nous pouvons appeler cela ainsi - est que les mots de passe ont été dissimulés et que le piratage ne semble pas avoir directement impliqué des cartes de crédit ou des comptes bancaires, selon l’annonce de Yahoo.

Les comptes de carte de crédit ne seront probablement pas affectés. Mais «probablement» n’est pas «certainement». Si vous avez tendance à réutiliser les mots de passe sur plusieurs sites, il est temps d’arrêter et de changer ces mots de passe. Et Yahoo encourage toujours les gens à vérifier leurs rapports de solvabilité.

Pas une autre cible

Lorsque vous entendez une «violation de données», vous pouvez penser à ce qui est arrivé à Target en 2013. Environ 70 millions de clients ont été touchés et, pire encore, 40 millions de numéros de cartes de crédit ont été volés. Des millions de clients ont dû s'inquiéter des activités frauduleuses sur leurs cartes.

La faille Yahoo est environ sept fois plus grande que la cible, mais pour les consommateurs concernés, elle n’est pas sept fois plus grave.

La différence a à voir avec ce qui a été volé. Dans le cas de Yahoo, les informations volées comprenaient des noms, adresses électroniques, numéros de téléphone, dates de naissance, mots de passe dissimulés et, dans certains cas, des questions de sécurité et des réponses non cryptées et cryptées, selon un communiqué de presse de la société. Yahoo note également que l'enquête en cours suggère que «les informations volées n'incluaient pas de mots de passe non protégés, de données de cartes de paiement ou d'informations de compte bancaire».

Les mots de passe ont également été «hachés», selon Yahoo. Cela signifie qu'ils ont été exécutés via une «fonction mathématique qui convertit une chaîne de données originale en une chaîne de caractères apparemment aléatoire», selon Yahoo.

Des signes d'un piratage potentiel auraient été signalés plus tôt cet été sur le «Web sombre» - un espace Internet inaccessible par les moteurs de recherche, où les transactions illégales peuvent rester non détectées. Un pirate informatique a tenté de vendre ce qui était censé être 200 millions de comptes Yahoo pour 3 bitcoins, soit environ 1 860 $, a rapporté Motherboard en août. Selon un livre blanc de Trend Micro, c’est un peu cher, si l’on considère que les identifiants de connexion des banques du monde entier vont «entre 200 et 500 USD par compte» sur de tels marchés.

Qu'est-ce qui pourrait arriver

Les identifiants volés dans la faille Yahoo n’ont pas cette valeur tant que les mots de passe sont dissimulés. Mais il existe toujours un risque que les pirates informatiques obtiennent plus d'informations de la violation que nous le pensons.

Prenez les mots de passe, par exemple. Lorsque les mots de passe sont hachés, ils sont essentiellement inutiles. Mais il est possible que les pirates informatiques «déforment» ces mots de passe, explique Al Pascual, vice-président directeur et responsable de la fraude et de la sécurité chez Javelin Strategy & Research.

«Il existe des logiciels tels que Hashcat et John the Ripper qui sont conçus pour déchiffrer les mots de passe», explique Pascual. "Cela prend du temps et de la puissance de traitement, et même dans ce cas, tous les mots de passe ne sont généralement pas déchiffrés."

Si les pirates réussissaient à libérer certains des mots de passe, ils pourraient exécuter des scripts pour toucher le plus grand nombre possible de sites Web afin de voir où ces mots de passe fonctionnent, explique Pascual. Cela pourrait affecter les consommateurs qui utilisent le même mot de passe pour chaque compte.

Même si cela réussissait, les pirates informatiques ne pourraient probablement pas accéder à vos comptes financiers. Les principales banques et émetteurs disposent d'un logiciel de sécurité qui verrouille les utilisateurs après plusieurs tentatives de connexion infructueuses. Pascual dit cependant que certains petits émetteurs n’ont pas cette capacité.

Les escroqueries par hameçonnage sont un autre résultat potentiel de la violation, et que Yahoo anticipe. La société a souligné que le courrier électronique envoyé aux personnes touchées par la violation «ne vous demande pas de cliquer sur des liens ou de contenir des pièces jointes et ne demande pas vos informations personnelles» - des demandes qui constituent une tactique courante dans les courriels de phishing. Les informations de votre carte de crédit pourraient ne pas être directement affectées par la violation de Yahoo, mais elles pourraient être compromises si vous donniez vos informations de connexion à une personne prétendant être Yahoo par courrier électronique.

" PLUS: Les escrocs veulent vos points de carte de crédit

Que faire à ce sujet

Si Yahoo vous informe que l'infraction a été affectée, vous pouvez prendre trois mesures pour vous protéger des fraudes potentielles sur vos cartes de crédit et autres comptes:

1. Changez vos mots de passe. «Les gens ont tendance à ne pas mettre à jour leurs mots de passe à moins d'y être absolument obligés», explique Pascual. Les pirates voient cela comme une opportunité majeure. Par conséquent, si vous utilisez le même mot de passe pour tous vos comptes, ne mettez pas simplement à jour votre mot de passe Yahoo - mettez également à jour vos autres mots de passe. Au minimum, assurez-vous que les mots de passe que vous utilisez sur votre carte de crédit et vos comptes bancaires ne sont pas les mêmes que ceux que vous utilisez sur des sites Web qui semblent avoir été conçus par des élèves de 6e année en 1999.
2. Lisez les emails attentivement. Ne répondez pas aux courriels censés provenir de Yahoo - ou de toute autre société - s’ils vous demandent de fournir un mot de passe, un nom d’utilisateur ou toute autre information personnelle, ou de vous demander de cliquer sur un lien.Les fraudeurs utilisent des e-mails à la sonorité urgente comme ceux-ci pour obtenir des informations précieuses auprès de consommateurs peu méfiants.
3. Vérifiez votre rapport de crédit et vos comptes financiers. Bien que la violation par Yahoo n’ait pas inclus de données financières, «nous vous encourageons à rester vigilant en examinant vos relevés de compte et en surveillant vos rapports de crédit», selon un communiqué de la société.

Vous pouvez obtenir un rapport de crédit gratuit une fois par an auprès de chacun des trois principaux bureaux de crédit: Experian, Equifax et TransUnion. Allez à AnnualCreditReport.com. Si vous détectez des signes de fraude sur votre compte de carte de crédit - par exemple, des achats inconnus - appelez immédiatement votre émetteur et signalez-le. La loi limite fortement votre responsabilité financière en matière de fraude sur compte bancaire et de carte de crédit. Même si votre carte de crédit est indirectement touchée par cette violation, vous n’avez probablement pas à payer pour cela.

Claire Tsosie est rédactrice chez Investmentmatome, un site Web sur les finances personnelles. Email: [email protected]. Twitter: @ ideclaire7.