Yahoo Breach Sandsynligvis vil ikke kompromittere kreditkort

Det er adgangskodeændringstid igen.

Yahoo's meddelelse om, at en "statssponsoreret skuespiller" havde pilferede data, der muligvis indeholdt skjulte adgangskoder, fra en halv milliard konti i slutningen af ​​2014, er et af de største sikkerhedsfejl, der nogensinde er beskrevet. De "gode" nyheder - hvis vi kan kalde det det - er, at adgangskoderne blev skjult, og at hacket ikke ser ud til at have direkte involveret kreditkort eller bankkonti, ifølge Yahoo's meddelelse.

Kreditkortkonti vil sandsynligvis ikke blive påvirket. Men "sandsynligvis" er ikke "bestemt". Hvis du har tendens til at genbruge adgangskoder på tværs af flere websteder, er det nu tid til at stoppe og ændre disse adgangskoder. Og Yahoo er stadig opmuntrende folk til at kontrollere deres kreditrapporter.

Ikke et andet mål

Når du hører "data brud", kan du tænke på, hvad der skete med Target i 2013. Omkring 70 millioner kunder blev ramt, og - værre - 40 millioner kreditkortnumre blev stjålet. Millioner af kunder måtte derfor bekymre sig om svigagtig aktivitet på deres kort som følge heraf.

Yahoo-bruddet er omtrent syv gange så stort som Target one, men for berørte forbrugere er det ikke syv gange værre.

Forskellen har at gøre med, hvad der blev stjålet. I Yahoo's tilfælde indeholdt de stjålne oplysninger navne, e-mailadresser, telefonnumre, fødselsdato, skjulte kodeord og i nogle tilfælde sikkerhedsspørgsmål og svar både ukrypteret og krypteret, ifølge en pressemeddelelse fra virksomheden. Yahoo bemærker også, at den igangværende undersøgelse tyder på, at "stjålet information ikke omfattede ubeskyttede adgangskoder, betalingskortdata eller bankkontooplysninger."

Adgangskoderne var også "hashed", ifølge Yahoo. Det betyder, at de blev kørt gennem en "matematisk funktion, der konverterer en originalstreng af data til en tilsyneladende tilfældig streng af tegn", ifølge Yahoo.

Tegn på en potentiel hack angiveligt opstod tidligere i sommer på den "mørke web" - en plads på internettet, der ikke kan nås af søgemaskiner, hvor ulovlige forhold kan gå uden opdagelse. En hacker forsøgte at sælge, hvad der tilsyneladende var 200 millioner Yahoo-konti for 3 bitcoins, eller ca. 1.860 dollars, rapporterede moderkort i august. Det er på den billige side, hvis du mener, at loginoplysninger for banker over hele verden går efter "mellem US $ 200 og US $ 500 pr. Konto" på markedspladser som disse, ifølge et hvidbog fra Trend Micro.

Hvad kunne der ske

De legitimationsoplysninger, der er stjålet i Yahoo-bruddet, er ikke så værdifulde, så længe adgangskoderne er skjult. Men der er stadig risiko for, at hackere kunne opsamle flere oplysninger fra bruddet, end vi tror.

Tag f.eks. Adgangskoderne. Når adgangskoder er hashed, er de i det væsentlige ubrugelige. Men det er muligt, at hackere kunne "unhash" disse adgangskoder, siger Al Pascual, senior vice president og chef for bedrageri og sikkerhed ved Javelin Strategy & Research.

"Der er software som Hashcat og John the Ripper, som er designet til at knække adgangskoder," siger Pascual. "Det tager tid og processorkraft, og selv da er ikke alle adgangskoder typisk dekrypteret."

Hvis hackere lykkedes at fjerne nogle af adgangskoderne, kunne de køre scripts for at ramme så mange websites som muligt for at se, hvor disse adgangskoder virker, siger Pascual. Det kan påvirke forbrugere, der bruger den samme adgangskode til hver konto.

Selvom det viste sig at være vellykket, ville hackere nok ikke kunne få adgang til dine finansielle konti. Store banker og udstedere har sikkerhedssoftware, der låses ud af brugere efter flere mislykkede tilmeldingsforsøg. Pascual siger imidlertid, at nogle mindre udstedere ikke har denne kapacitet.

Phishing-svindel er et andet potentielt resultat af bruddet, og et som Yahoo forudser. Virksomheden understregede, at den e-mail, den sendte til dem, der var berørt af bruddet "beder dig ikke om at klikke på nogen links eller indeholde vedhæftede filer og ikke anmode om dine personlige oplysninger" - anmodninger, der er fælles taktik i phishing-e-mails. Dine kreditkortoplysninger påvirkes muligvis ikke af Yahoo-bruddet direkte, men det kan blive kompromitteret, hvis du giver dine loginoplysninger til nogen, som foregiver at være Yahoo via e-mail.

" MERE: Crooks vil have dit kreditkort point

Hvad skal man gøre ved det

Hvis du har modtaget meddelelse fra Yahoo om, at du var påvirket af overtrædelsen, er der tre ting, du kan gøre for at beskytte potentielle svig på dine kreditkort og andre konti:

1. Skift dine adgangskoder. "Folk har en tendens til ikke at opdatere deres adgangskoder, medmindre de absolut må", siger Pascual. Hackere ser det som en stor mulighed. Så hvis du bruger den samme adgangskode til alle dine konti, skal du ikke bare opdatere din Yahoo-adgangskode - opdater også dine andre adgangskoder. I det mindste skal du sørge for, at de adgangskoder, du bruger på dit kreditkort og bankkonti, ikke er de samme, du bruger på websteder, der ligner, at de blev designet af 6. gradere i 1999.
2. Læs emails omhyggeligt. Du må ikke svare på e-mails, der angives at være fra Yahoo - eller noget firma, for den sags skyld - hvis de beder dig om at angive et kodeord, brugernavn eller andre personlige oplysninger eller bede dig om at klikke på et link.Svindlere bruger presserende e-mails som disse for at få værdifuld information ud af intetanende forbrugere.
3. Tjek din kredit rapport og finansielle konti. Selvom Yahoo's overtrædelse ikke indeholdt økonomiske data, "opfordrer vi dig til at forblive vågent ved at gennemgå dine kontoudtog og overvåge dine kreditrapporter", ifølge en erklæring fra virksomheden.

Du kan få en gratis kredit rapport en gang om året fra hver af de tre store kredit bureauer: Experian, Equifax og TransUnion. Gå til AnnualCreditReport.com. Hvis du opdager tegn på bedrageri på din kreditkortkonto - siger ukendte køb - ring din udsteder straks og rapporter det. Loven begrænser din finansielle ansvar på bankkonto svig og kreditkort bedrageri. Selv hvis dit kreditkort er indirekte berørt af dette brud, vil du sandsynligvis ikke skulle betale for det.

Claire Tsosie er en medarbejderforfatter på Investmentmatome, et privat finanswebsted. Email: [email protected]. Twitter: @ ideclaire7.