Praticamente non si è salvato nessuno. Tre miliardi di account di posta elettronica Yahoo, l'intero bacino di utenza, tutti colpiti dall'attacco hacker del 2013, già passato alla storia per essere il più esteso di tutti i tempi ai danni di un servizio di Web mail. Ora, però, alla luce di nuove indagini il numero delle vittime va moltiplicato per tre. Lo ha ammesso la stessa società in una nota in cui si spiega che le verifiche propedeutiche all'acquisizione da parte di Verizon (la cui sussidiaria,Oath, attualmente controlla Yahoo), condotte con il supporto di esperti di forensica, spingono a credere che “tutti gli account utente Yahoo sono stati interessati dal furto dell'agosto 2013”.
Si parla, chiaramente, di furto di dati: un bene non meno prezioso del denaro, ma che anzi sul Web può essere sfruttato più volte per attacchi reiterati nel tempo, su obiettivi vari. L'abitudine immarcescibile al riciclo delle password continua a essere il miglior complice dei cybercriminali. E dunque più volte, dal 2013 a oggi, l'attacco a Yahoo Mail è stato citato come possibile fonte originaria di informazioni tornate poi utili per successive operazioni cybercriminali.
Secondo i risultati delle indagini condotte l'anno scorso, i dati sottratti nel 2013 sarebbero indirizzi email, nomi, numeri di telefono, date di nascita, password crittografate con hashing e anche, non per tutti gli utenti domande di sicurezza e realtive risposte. I criminali sarebbero penetrati negli account senza dover intercettare la password, bensì sfruttando alcuni particolari cookie appositamente creati per lo scopo. Alla luce della scoperta del miliardo di profili violati, l'anno scorso Yahoo aveva avvertito tutti quanti gli iscritti al servizio sull'opportunità di modificare le credenziali di login e le domande e risposte di sicurezza.
Ora, dopo aver moltiplicato per tre il numero degli account violati, l'azienda ha comunque cercato di tranquillizzare il suo pubbico. “Questa non è una nuova minaccia alla sicurezza”, si legge nella nota, “ma Yahoo sta comunque inviando delle notifiche email agli account utente aggiuntivi. L'indagine indica che le informazioni sottratte non includevano password memorizzate in chiaro, dati di carte di pagamento o di conti bancari. L'azienda continua a lavorare a stretto contatto con le forze dell'ordine”.