En julio de 2012, Yahoo Voice , una plataforma de contenido generado por los usuarios propiedad de Yahoo , sufrió una importante filtración de datos. El 11 de julio de 2012, un grupo de piratas informáticos que se autodenominaba "D33DS Company" publicó un archivo en línea que contenía aproximadamente 450.000 credenciales de inicio de sesión y contraseñas de usuarios de Yahoo Voice. Los datos se obtuvieron mediante un ataque de inyección SQL que explotó vulnerabilidades en los servidores de bases de datos de Yahoo. [1] [2] [3] [4]
La vulneración de Yahoo Voices se produjo el 12 de julio de 2012, cuando un grupo de piratas informáticos que se hacía llamar "D33DS Company" utilizó un ataque de inyección SQL basado en una unión para obtener acceso no autorizado a los servidores de Yahoo. [5] Los atacantes pudieron extraer y publicar detalles de cuentas no cifradas, incluidos correos electrónicos y contraseñas, de aproximadamente 450.000 cuentas de usuario pertenecientes al servicio Yahoo Voices. [6]
Las contraseñas comprometidas se almacenaron en texto simple, sin ningún tipo de cifrado ni protección de hash. [6] Este descuido de seguridad permitió a los atacantes acceder y publicar inmediatamente las contraseñas sin formato sin necesidad de descifrarlas, lo que aumentó significativamente el potencial de uso indebido inmediato de las credenciales robadas. [5]
La compañía D33DS anunció la filtración a través de una publicación en Twitter, que luego fue eliminada. [6] Los piratas informáticos también precedieron su volcado de contraseñas con una declaración que detallaba el uso de un ataque de inyección SQL basado en uniones para obtener los datos. [6] El archivo de volcado completo que contenía la información del usuario comprometido se puso a disposición para su descarga a través de BitTorrent, lo que permitió una distribución generalizada y un posible uso indebido de las credenciales robadas. [6]
La vulneración comprometió aproximadamente 450.000 cuentas de usuario y los datos filtrados, incluidos nombres de usuario y contraseñas en texto plano, se dirigieron específicamente a Yahoo Voice, anteriormente conocida como Associated Content, que Yahoo había adquirido en mayo de 2010 por 100 millones de dólares (64,5 millones de libras esterlinas). Mediante técnicas de inyección SQL, los piratas informáticos pudieron extraer los datos de los servidores de Yahoo y, posteriormente, publicar la información comprometida en línea. [1] [2] [3] [4]
Yahoo confirmó la violación de datos, afirmando que "un archivo antiguo de Yahoo Contributor Network... que contenía aproximadamente 450.000 nombres y contraseñas de usuarios de Yahoo y otras empresas se vio comprometido". La empresa también señaló que menos del 5% de las cuentas de Yahoo tenían contraseñas válidas. [3] Según la empresa de seguridad estadounidense Trustedsec, las contraseñas comprometidas estaban asociadas a una variedad de direcciones de correo electrónico, incluidas las de yahoo.com, gmail.com y aol.com. [3] [4]
Las últimas entradas del volcado de datos parecían estar vinculadas a identificaciones creadas en 2006, lo que sugiere que la base de datos comprometida podría haber sido una más antigua que ya no se utiliza activamente. [4] En el momento de la filtración, Yahoo afirmó tener más de 600.000 colaboradores en su plataforma Voice. [4]
Los expertos en seguridad sugirieron que el aspecto más alarmante del ataque fue que las contraseñas de las cuentas se almacenaron sin cifrar. Esto significaba que cualquier pirata informático podría usar las direcciones de correo electrónico y las contraseñas robadas para acceder a otros servicios, incluido Yahoo Mail, lo que ponía en riesgo muchas más cuentas que las directamente afectadas por la vulneración de Voice. [4]
En una declaración que acompañaba a la filtración de datos, los piratas informáticos afirmaban: "Esperamos que las partes responsables de gestionar la seguridad de este subdominio lo tomen como una llamada de atención y no como una amenaza". También señalaron que otros agujeros de seguridad habían dado lugar a revelaciones anteriores e instaron a Yahoo a no tomar las vulnerabilidades a la ligera. [1] La filtración puso de relieve importantes fallos de seguridad en los sistemas de Yahoo, en particular el almacenamiento de contraseñas en texto sin formato en lugar de utilizar cifrado. Este incidente se produjo poco después de otras importantes filtraciones de datos en empresas como LinkedIn, así como ataques similares a Android Forums y Formspring, lo que generó preocupaciones más amplias sobre las prácticas de seguridad en línea en ese momento. [1] [4]
En respuesta a la filtración, Yahoo declaró que "tomaría medidas inmediatas para corregir la vulnerabilidad que llevó a la divulgación de estos datos, cambiar las contraseñas de los usuarios de Yahoo afectados y notificar a las empresas cuyas cuentas de usuario podrían haber sido comprometidas". [3] La empresa enfrentó críticas por sus prácticas de seguridad y su incapacidad para proteger adecuadamente los datos de los usuarios. Esta filtración fue uno de los varios incidentes de seguridad importantes que Yahoo enfrentaría en los años siguientes, y que culminaron con la divulgación de filtraciones aún mayores que afectaron a miles de millones de cuentas en 2016. [2]
Yahoo! dijo en una declaración escrita que se toma muy en serio la seguridad y que está trabajando en conjunto para solucionar la vulnerabilidad en su sitio. Yahoo! dijo que estaba en proceso de cambiar las contraseñas de las cuentas hackeadas y notificar a otras compañías sobre el hackeo. [7] [8]
No hubo notificaciones a todo el sitio sobre el ataque, ni ninguna víctima recibió ningún tipo de mensaje personal que detallara cómo restablecer las contraseñas de sus cuentas de Yahoo. [9] Joseph Bonneau, un investigador de seguridad y ex gerente de análisis de productos de Yahoo, dijo: "Yahoo puede ser criticado con justicia en este caso por no integrar las cuentas de Associated Content más rápidamente en el sistema de inicio de sesión general de Yahoo, para lo cual puedo decirles que la protección de contraseñas es mucho más fuerte". [7]