En 2013 y 2014, la empresa estadounidense de servicios web Yahoo fue víctima de dos de las mayores violaciones de datos registradas. Aunque Yahoo estaba al tanto, ninguna de las dos violaciones se hizo pública hasta septiembre de 2016.
La filtración de datos de 2013 se produjo en los servidores de Yahoo en agosto de 2013 y afectó a los tres mil millones de cuentas de usuario. La filtración de 2014 afectó a más de 500 millones de cuentas de usuario. Ambas filtraciones se consideran las más grandes jamás descubiertas e incluyeron nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento y preguntas de seguridad, tanto cifradas como no cifradas. Cuando Yahoo hizo públicas las filtraciones en 2016, reconoció que estaba al tanto de la segunda intrusión desde 2014.
Estos incidentes llevaron a la acusación de cuatro personas vinculadas a la última violación, incluido el hacker canadiense Karim Baratov, que recibió una sentencia de cinco años de prisión y también provocó críticas generalizadas a Yahoo por su respuesta tardía. Las consecuencias incluyeron un acuerdo de demanda colectiva por 117,5 millones de dólares, una multa de 35 millones de dólares de la Comisión de Bolsa y Valores de Estados Unidos , el escrutinio del Congreso de los Estados Unidos y complicaciones para la adquisición de Yahoo por parte de Verizon Communications en 2017.
La primera violación de datos ocurrió en los servidores de Yahoo en agosto de 2013 [1] y afectó a las tres mil millones de cuentas de usuarios. [2] [3] Yahoo anunció la violación el 14 de diciembre de 2016. [4] Marissa Mayer , quien era CEO de Yahoo en el momento de la violación, testificó ante el Congreso en 2017 que Yahoo no había podido determinar quién perpetró la violación de 2013. [5]
Un año después de que el denunciante estadounidense Edward Snowden identificara a Yahoo como un objetivo frecuente de los piratas informáticos patrocinados por el Estado en 2013, la empresa contrató a un director de seguridad de la información dedicado, Alex Stamos . Si bien la contratación de Stamos fue elogiada por los expertos en tecnología como una muestra del compromiso de Yahoo con una mejor seguridad, la directora ejecutiva de Yahoo, Marissa Mayer, supuestamente había negado a Stamos y a su equipo de seguridad fondos suficientes para implementar las medidas de seguridad que recomendaban, y él abandonó la empresa en 2015. [4]
Durante noviembre o diciembre de 2014, un hacker, que el Departamento de Justicia de los EE. UU. cree que es el ciudadano ruso Alexey Belan , copió una copia de seguridad de noviembre de 2014 de la base de datos de cuentas de usuario de Yahoo, que contenía detalles de más de 500 millones de cuentas a una computadora bajo su control. [6] La base de datos de cuentas de usuario incluía datos de más de 500 millones de cuentas de usuario, incluidos nombres de cuenta, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, contraseñas encriptadas y, en algunos casos, preguntas y respuestas de seguridad encriptadas o no encriptadas a través de cookies web manipuladas . [7] [8] [9] La mayoría de las contraseñas de Yahoo usaban el algoritmo de hash bcrypt , que se considera difícil de descifrar, y el resto usaba el antiguo algoritmo MD5 , que se puede descifrar con bastante rapidez. [10]
Desde octubre de 2014 hasta al menos noviembre de 2016, Belan y al menos dos piratas informáticos conectados con él accedieron a la información y el contenido de las cuentas de los usuarios para varias acciones ilegales, incluida la búsqueda de códigos de cupones de regalo en correos electrónicos, el ataque deliberado a las cuentas de personas de interés, la mejora de la clasificación de búsqueda de las empresas en las que tenían interés y el uso de los datos de Yahoo para violar cuentas en otras plataformas como Gmail . [6] Como parte de este proceso, los piratas informáticos reclutaron al pirata informático canadiense Karim Baratov para ingresar en cuentas en otras plataformas. [11] [12]
En junio de 2016, se informó que los nombres de cuenta y las contraseñas de aproximadamente 200 millones de cuentas de Yahoo se pusieron a la venta en el sitio de mercado de la red oscura TheRealDeal . [13] Yahoo declaró que estaba al tanto de los datos y los estaba evaluando, advirtiendo a los usuarios sobre la situación, pero no restableció las contraseñas de las cuentas en ese momento. [13]
Yahoo informó oficialmente al público sobre la violación de seguridad de 2014 el 22 de septiembre de 2016. Las acciones de Yahoo para lidiar con la violación incluyeron invalidar las preguntas y respuestas de seguridad no cifradas y pedir a los usuarios potencialmente afectados que cambiaran sus contraseñas. [14] Yahoo también afirmó que no había evidencia de que los atacantes todavía estuvieran en el sistema y que el ataque fue patrocinado por el estado. [14] La Oficina Federal de Investigaciones (FBI) confirmó que estaba investigando el asunto. [15] El Wall Street Journal informó que una empresa de seguridad, que tenía acceso a una parte de la base de datos de Yahoo, creía que los atacantes eran de naturaleza criminal en lugar de patrocinados por el estado, y que la base de datos había sido vendida repetidamente. [16]
En su presentación ante la Comisión de Bolsa y Valores de Estados Unidos (SEC) de noviembre de 2016, Yahoo informó que habían tenido conocimiento de una intrusión en su red en 2014, pero no habían entendido el alcance de la violación hasta que comenzó una investigación de un incidente de violación de datos separado alrededor de julio de 2016. [17] [18] La presentación anterior de Yahoo ante la SEC el 9 de septiembre, antes del anuncio de la violación, había declarado que no tenía conocimiento de ninguna "violación de seguridad" o "pérdida, robo, acceso no autorizado o adquisición" de datos de los usuarios. [19] La presentación de noviembre señaló que la empresa creía que una de las violaciones de datos se había llevado a cabo a través de un ataque basado en cookies que permitía a los piratas informáticos autenticarse como cualquier otro usuario sin su contraseña. [17] [20] [21] (En una presentación reglamentaria de la SEC en 2017, Yahoo informó que se accedió a 32 millones de cuentas a través de este ataque basado en cookies durante 2015 y 2016. [22] )
En diciembre de 2016, Yahoo reveló la violación de datos de 2013 y que mil millones de cuentas de usuarios habían sido comprometidas. [23] Casi un año después, en octubre de 2017, revisaron esa estimación e informaron que las tres mil millones de cuentas de Yahoo habían sido comprometidas en la violación de datos. [23]
La revisión interna de la situación realizada por Yahoo concluyó que Mayer y otros ejecutivos clave sabían de las intrusiones, pero no informaron a la empresa ni tomaron medidas para evitar más infracciones. La revisión condujo a la renuncia del asesor general de la empresa, Ronald S. Bell, en marzo de 2017, y se le retiró a Mayer la compensación en acciones y la bonificación de 12 millones de dólares correspondientes a 2016 y 2017. [24]
El 15 de marzo de 2017, el FBI acusó a cuatro hombres de la violación de datos de 2014, incluidos dos que trabajaban para el Servicio Federal de Seguridad de Rusia (FSB). En su declaración, el FBI afirmó que "la conducta delictiva en cuestión, llevada a cabo y facilitada de otro modo por oficiales de una unidad del FSB que actúa como punto de contacto del FBI en Moscú en materia de delitos cibernéticos, es inaceptable". [25]
Los cuatro hombres acusados incluyen al hacker Alexsey Belan, que estaba en la lista de los diez fugitivos más buscados del FBI , los agentes del FSB Dmitry Dokuchaev e Igor Sechin, a quienes el FBI acusó de pagar a Belan y a otros hackers para que llevaran a cabo el ataque, y el hacker canadiense Karim Baratov. El FBI afirmó que Dokuchaev y Sushchin pagaron a Karim Baratov para que utilizara los datos obtenidos por las infracciones de Yahoo para entrar en unas 80 cuentas no pertenecientes a Yahoo de objetivos específicos. [26] Los funcionarios rusos han negado cualquier implicación. [27] [28]
Baratov, el único hombre arrestado, fue extraditado a Estados Unidos en agosto de 2017. [29] Se declaró culpable y admitió haber pirateado al menos 80 cuentas de correo electrónico en nombre de contactos rusos. Fue acusado de nueve cargos de piratería y en mayo de 2018 fue sentenciado a 5 años de prisión y se le ordenó pagar 2,25 millones de dólares y restituir a sus víctimas. [30] Sus memorias, publicadas en 2023, describen un estilo de vida de fiesta financiado mediante el pirateo de cuentas de correo electrónico de miles de personas. [31]
La demora de Yahoo en descubrir y reportar estas violaciones, así como en implementar características de seguridad mejoradas, ha sido duramente criticada en todos los niveles. [32]
Antes del anuncio de las infracciones, Verizon Communications había iniciado negociaciones y había obtenido la aprobación para comprar una parte de las propiedades de Yahoo por 4.800 millones de dólares, y el acuerdo se cerraría en marzo de 2017. [33] Yahoo solo reveló la infracción de 2014 a Verizon dos días antes del anuncio de Yahoo en septiembre. [15] El director ejecutivo de Verizon, Lowell McAdam, dijo que no estaba sorprendido por el ataque, diciendo que "todos vivimos en un mundo de Internet, no es una cuestión de si te van a piratear, sino de cuándo te van a piratear". [34] En febrero de 2017, Verizon y Yahoo anunciaron que el acuerdo seguiría adelante, pero reduciendo el precio de venta en 350 millones de dólares, hasta los 4.480 millones de dólares. [35] El acuerdo se cerró oficialmente a este precio en junio de 2017, y Mayer renunció como director ejecutivo tras el cierre. [36] Verizon y Yahoo acordaron compartir conjuntamente los costos en curso de la investigación gubernamental de las infracciones bajo este nuevo término. [37] La compañía Yahoo, que todavía poseía las propiedades no compradas por Verizon, cambió su nombre a Altaba en junio de 2017. [38] Como Altaba era la compañía original, fue Altaba la que estuvo sujeta a una multa posterior de $35 millones de la SEC en lugar de Verizon. [39]
En una carta a Mayer, seis senadores estadounidenses ( Elizabeth Warren , Patrick Leahy , Al Franken , Richard Blumenthal , Ron Wyden y Ed Markey ) exigieron respuestas sobre cuándo Yahoo descubrió la última violación de seguridad de 2014 y por qué tardó tanto en revelarla al público, calificando de "inaceptable" el lapso de tiempo entre la violación de seguridad y su divulgación. [40] [41] [42] El 26 de septiembre de 2016, el senador Mark Warner solicitó a la Comisión de Bolsa y Valores de Estados Unidos (SEC) que investigara si Yahoo y sus altos ejecutivos cumplieron con sus obligaciones bajo las leyes federales de valores para revelar adecuadamente el ataque. En 2017, la SEC anunció una multa de 35 millones de dólares contra Altaba por no revelar la violación de seguridad de 2014 de manera oportuna. [43] [44]
En noviembre de 2016, se informó que se habían presentado 23 demandas relacionadas con la violación de datos de finales de 2014 contra Yahoo. [18] En una demanda, presentada en el Tribunal de Distrito de los Estados Unidos para el Distrito Sur de California en San Diego , los demandantes sostuvieron que el ataque causó una "intrusión en asuntos financieros personales". [45]
Cinco de estos 23 casos se combinaron en una sola demanda a principios de diciembre de 2016. [46] [47] El caso se modificó posteriormente para incluir la información actualizada sobre la infracción tras el anuncio de Yahoo sobre la infracción de agosto de 2013. [48] Antes de que pudiera comenzar un juicio, Verizon y Altaba acordaron dividir el costo de un acuerdo de $ 50 millones en octubre de 2018 con aquellos en la demanda colectiva (un estimado de 200 millones de usuarios en total), junto con proporcionar dos años de monitoreo de crédito gratuito. [49] El juez rechazó la oferta de acuerdo, cuestionando la falta de transparencia de los detalles de los acuerdos, así como los altos costos recuperados por los abogados a través del acuerdo. [50] Yahoo acordó llegar a un acuerdo por $ 117,5 millones en abril de 2019, ofreciendo nuevamente a los usuarios afectados monitoreo de crédito y un pago en efectivo que dependía del número de encuestados en la clase. [51]
Los gobiernos extranjeros también han mostrado su preocupación por las diversas violaciones de datos. En octubre de 2016, el Grupo de Trabajo de Protección de Datos del Artículo 29 de los reguladores europeos de privacidad expresó sus preocupaciones sobre la violación de datos de 2014, así como las acusaciones de que la empresa había creado un sistema que escaneaba los correos electrónicos entrantes de los clientes a petición de los servicios de inteligencia estadounidenses en una carta a Yahoo. [52] [53] Pidieron a Yahoo que comunicara todos los aspectos de la violación de datos a las autoridades de la Unión Europea, que notificara a los usuarios afectados los "efectos adversos" y que cooperara con todas las "próximas investigaciones y/o consultas de las autoridades nacionales de protección de datos". [54] El Comisionado de Protección de Datos de Irlanda (el principal regulador europeo en cuestiones de privacidad para Yahoo porque la sede europea de Yahoo está en Dublín) investigó la violación y emitió una declaración en la que afirmaba que "la supervisión de Yahoo de las operaciones de procesamiento de datos realizadas por su procesador de datos no cumplía con el estándar requerido por la ley de protección de datos de la UE" y que "Yahoo no tomó suficientes medidas razonables para garantizar que el procesador de datos que contrató cumpliera con las medidas técnicas de seguridad y organizativas apropiadas según lo exige la ley de protección de datos", aunque no se emitió ninguna multa. [55] La Oficina Federal de Seguridad de la Información de Alemania criticó a Yahoo tras el anuncio de diciembre de 2016, afirmando que "la seguridad no es un concepto extraño", y advirtió al gobierno y a otros usuarios alemanes que buscaran soluciones de correo electrónico e Internet de empresas con mejores enfoques de seguridad. [56]
Utilizando una variedad de técnicas para eludir las medidas de seguridad, los piratas informáticos buscaron acceder a una gran cantidad de cuentas de correo electrónico.