Yahoo Breach zal waarschijnlijk geen creditcards compromitteren

Het is weer wachtwoord-veranderende tijd.

De aankondiging van Yahoo dat een "door de staat gesponsorde actor" gegevens heeft gestolen, mogelijk inclusief verborgen wachtwoorden, eind 2014 van een half miljard accounts vertegenwoordigt een van de grootste dergelijke beveiligingsinbreuken die ooit zijn onthuld. Het "goede" nieuws - als we het zo kunnen noemen - is dat de wachtwoorden verborgen waren en dat de hack blijkbaar geen direct betrokken creditcards of bankrekeningen heeft, aldus Yahoo's aankondiging.

Creditcard-accounts worden waarschijnlijk niet beïnvloed. Maar "waarschijnlijk" is niet "zeker". Als u wachtwoorden over meerdere sites hergebruikt, is dit het moment om te stoppen en om die wachtwoorden te wijzigen. En Yahoo moedigt mensen nog steeds aan om hun kredietrapporten te controleren.

Geen ander doelwit

Wanneer u 'data breach' hoort, denkt u misschien aan wat er in 2013 met Target is gebeurd. Ongeveer 70 miljoen klanten werden getroffen en - erger - 40 miljoen creditcardnummers werden gestolen. Miljoenen klanten moesten zich zorgen maken over frauduleuze activiteiten op hun kaarten.

De Yahoo-doorbraak is ongeveer zeven keer zo groot als de doelwit-aanval, maar voor de getroffen consumenten is dit niet zeven keer slechter.

Het verschil heeft te maken met wat werd gestolen. In het geval van Yahoo omvatte de gestolen informatie namen, e-mailadressen, telefoonnummers, geboortedata, verborgen wachtwoorden en, in sommige gevallen, beveiligingsvragen en antwoorden, zowel ongecodeerd als gecodeerd, volgens een persbericht van het bedrijf. Yahoo merkt ook op dat het lopende onderzoek suggereert dat "gestolen informatie geen onbeschermde wachtwoorden, gegevens van betaalkaarten of bankrekeninggegevens bevatte."

De wachtwoorden waren volgens Yahoo ook "gehasht". Dat betekent dat ze door een "wiskundige functie die een originele reeks gegevens converteert naar een schijnbaar willekeurige reeks tekens" worden uitgevoerd, "volgens Yahoo.

Tekenen van een potentiële hack kwamen naar verluidt eerder deze zomer naar voren op het "dark web" - een ruimte van internet die onbereikbaar is voor zoekmachines, waar illegale transacties onopgemerkt kunnen blijven. Een hacker probeerde te verkopen wat naar verluidt 200 miljoen Yahoo-accounts was voor 3 bitcoins, of grofweg $ 1.860, meldde Motherboard in augustus. Dat is aan de goedkope kant, als je bedenkt dat inloggegevens voor banken over de hele wereld "tussen US $ 200 en US $ 500 per account" in dergelijke marktplaatsen zijn, volgens een whitepaper van Trend Micro.

Wat zou er kunnen gebeuren

De in de Yahoo-inbreuk gestolen geloofsbrieven zijn niet zo waardevol zolang de wachtwoorden verborgen zijn. Maar er is nog steeds een risico dat hackers meer informatie uit de inbreuk kunnen halen dan we denken.

Neem de wachtwoorden, bijvoorbeeld. Wanneer wachtwoorden gehasht zijn, zijn ze in wezen nutteloos. Maar het is mogelijk dat hackers die wachtwoorden kunnen 'onthutselen', zegt Al Pascual, senior vice-president en hoofd van fraude en veiligheid bij Javelin Strategy & Research.

"Er is software zoals Hashcat en John the Ripper die is ontworpen om wachtwoorden te kraken", zegt Pascual. "Het kost tijd en verwerkingskracht, en zelfs dan wordt niet elk wachtwoord meestal gedecodeerd."

Als hackers enkele van de wachtwoorden konden vernietigen, konden ze scripts uitvoeren om zoveel mogelijk websites te raken om te zien waar die wachtwoorden werken, zegt Pascual. Dat kan van invloed zijn op consumenten die voor elk account hetzelfde wachtwoord gebruiken.

Zelfs als dat succesvol zou zijn, zouden hackers waarschijnlijk niet in staat zijn om op uw financiële rekeningen te komen. Grote banken en issuers hebben beveiligingssoftware die gebruikers vergrendelt na meerdere mislukte inlogpogingen. Pascual zegt echter dat sommige kleinere uitgevende instellingen deze mogelijkheid niet hebben.

Phishing-zwendel is een ander potentieel gevolg van de schending en een die Yahoo verwacht. Het bedrijf benadrukte dat de e-mail die werd verzonden aan degenen die door de inbreuk werden getroffen "u niet vraagt ​​om op links te klikken of bijlagen te bevatten en niet om uw persoonlijke gegevens verzoekt" - verzoeken die veel voorkomen in phishing-e-mails. Uw creditcardinformatie wordt mogelijk niet direct beïnvloed door de Yahoo-inbreuk, maar kan in gevaar komen als u uw inloggegevens doorgeeft aan iemand die zich als e-mail voordoet als Yahoo.

" MEER: Oplichters willen uw creditcardpunten

Wat te doen?

Als u bericht van Yahoo ontving dat u door de inbreuk werd getroffen, zijn hier drie dingen die u kunt doen om te waken tegen mogelijke fraude op uw creditcards en andere accounts:

1. Wijzig uw wachtwoorden. "Mensen hebben de neiging om hun wachtwoorden niet bij te werken, tenzij ze absoluut moeten", zegt Pascual. Hackers zien dat als een grote kans. Dus als u hetzelfde wachtwoord gebruikt voor al uw accounts, werk dan niet alleen uw Yahoo-wachtwoord bij - update ook uw andere wachtwoorden. Zorg er op zijn minst voor dat de wachtwoorden die u gebruikt op uw creditcard en bankrekeningen niet dezelfde zijn als die u gebruikt op websites die eruit zien alsof ze in 1999 door zesdeklassers waren ontworpen.
2. Lees e-mails zorgvuldig. Reageer niet op e-mails die doen vermoeden dat ze van Yahoo zijn - of van welk bedrijf dan ook - als ze u vragen een wachtwoord, gebruikersnaam of andere persoonlijke informatie in te voeren, of u vragen om op een link te klikken.Bedriegers gebruiken urgent klinkende e-mails als deze om waardevolle informatie te krijgen van nietsvermoedende consumenten.
3. Controleer uw kredietrapport en financiële rekeningen. Hoewel de schending door Yahoo geen financiële gegevens bevat, "moedigen we u aan waakzaam te blijven door uw rekeningafschriften te controleren en uw kredietrapporten te bewaken", aldus een verklaring van het bedrijf.

U kunt eenmaal per jaar een gratis kredietrapport krijgen van elk van de drie belangrijkste kredietbureaus: Experian, Equifax en TransUnion. Ga naar AnnualCreditReport.com. Als u tekenen van fraude op uw creditcardrekening ontdekt - bijvoorbeeld onbekende aankopen - belt u uw uitgever meteen en meldt u dit. De wet beperkt uw financiële verantwoordelijkheid voor bankfraude en creditcardfraude sterk. Zelfs als uw creditcard onrechtstreeks wordt beïnvloed door deze schending, hoeft u er waarschijnlijk niet voor te betalen.

Claire Tsosie is een stafchrijver bij Investmentmatome, een personal finance-website. E-mail: [email protected]. Twitter: @ ideclaire7.