Peretasan Yahoo: ‘Pelanggaran keamanan Exxon Valdez’
Yahoo mendapat kecaman dari para pakar keamanan setelah raksasa teknologi itu mengonfirmasi bahwa lebih dari satu miliar akun pelanggan telah disusupi dalam pelanggaran data besar-besaran.
“Ini adalah contoh pelanggaran keamanan Exxon Valdez. 1 miliar akun disusupi, padahal hanya ada 3 miliar orang yang memiliki akses Internet di dunia,” Jeff Williams, CTO Contrast Security, mengatakan dalam sebuah pernyataan yang dikirim melalui email ke FoxNews.com. “Banyak orang menggunakan email Yahoo sebagai akun utama mereka. Ini berarti penyerang dapat mengatur ulang kata sandi untuk rekening bank, penyedia layanan kesehatan, rekening kartu kredit, dll… dan mengambil email pengaturan ulang kata sandi dari korban Yahoo.”
Di sebuah penyataan dirilis Rabu, Yahoo mengatakan pihak ketiga yang tidak berwenang mencuri data terkait lebih dari satu miliar akun pengguna pada Agustus 2013. Informasi akun yang dicuri mungkin termasuk nama, alamat email, nomor telepon, tanggal lahir, kata sandi “hash” (yang menggunakan algoritma untuk melindungi kata sandi)dan, dalam beberapa kasus, pertanyaan dan jawaban keamanan terenkripsi atau tidak terenkripsi, menurut Yahoo. Namun, penyelidikan perusahaan menunjukkan bahwa informasi yang dicuri tidak termasuk kata sandi teks yang jelas, data kartu pembayaran atau data rekening bank. Yahoo mengatakan informasi kartu pembayaran dan rekening bank tidak disimpan dalam sistem yang diyakini telah disusupi.
Pengungkapan pelanggaran ini terjadi setelah adanya peretasan terpisah terhadap 500 juta akun yang dikonfirmasi oleh Yahoo pada bulan September, terkait dengan data yang dicuri pada akhir tahun 2014.
YAHOO MENGKONFIRMASI LEBIH DARI SATU MILIAR AKUN YANG DIKOMPROM DALAM DATA BESAR
Perusahaan yakin penyusup pada Agustus 2013 mengakses kode Yahoo sendiri untuk mempelajari cara memalsukan cookie. Cookie banyak digunakan di web dan merupakan file teks kecil yang memungkinkan situs web mengenali pengguna dan ikuti preferensi mereka.
Yahoo mengkonfirmasi bahwa data yang dicuri termasuk kata sandi yang di-hash, atau dilindungi, dengan algoritma MD5, yang oleh banyak ahli dianggap tidak aman.
“Beberapa praktik yang diungkapkan Yahoo sebagai bagian dari pelanggaran ini, seperti penggunaan MD5 untuk hashing kata sandi dan penggunaan algoritma cookie yang dapat dipalsukan, adalah tindakan yang ceroboh,” kata Williams dari Contrast Security kepada FoxNews.com.
“Yahoo harus tahu bahwa ini adalah target yang sangat berharga bagi sindikat kejahatan dunia maya dan negara dan menginvestasikan sumber daya untuk melindungi datanya,” Kenneth Geers, peneliti senior di perusahaan keamanan siber Comodo, menambahkan dalam sebuah pernyataan. “Penggunaan hash MD5 yang rentan menunjukkan bahwa Yahoo tidak memberikan perhatian yang cukup terhadap keamanan.”
BREAK DATA DIAGNOSTIK QUEST MENEMPATKAN KEAMANAN PERAWATAN KESEHATAN DALAM SOROTAN
Para ahli juga menyatakan keprihatinannya bahwa pelanggaran terbaru yang diungkapkan oleh Yahoo terjadi pada tahun 2013, menyebabkan data pengguna terekspos selama lebih dari tiga tahun.
“Akun-akun ini telah disusupi selama bertahun-tahun dan banyaknya akun berarti mereka telah menjadi sumber utama pencurian identitas,” kata Tyler Moffitt, analis riset ancaman senior di perusahaan keamanan Internet Webroot, dalam sebuah pernyataan yang dikirim melalui email ke FoxNews.com.
“Mengingat peretasan terbesar sepanjang masa ini terjadi lebih dari tiga tahun lalu, kerusakan mungkin sudah terjadi, namun pengguna Yahoo harus segera mengubah kata sandi dan pertanyaan keamanan, serta mengaktifkan otentikasi 2 faktor,” Adam Levin, pendiri spesialis perlindungan identitas IDT911, menambahkan dalam sebuah pernyataan.
Dua faktor, juga dikenal sebagai otentikasi ‘dua langkah’, adalah metode untuk memperkuat keamanan online pengguna. Selain password, data login tambahan juga dapat digunakan, seperti kode yang dikirimkan ke ponsel.
TELINGA DI SURGA? NSA, GCHQ INTERCEPT PANGGILAN TELEPON DALAM PENERBANGAN, LAPORAN BERKATA
“Ini merupakan berita buruk bagi setiap pengguna Yahoo!,” CEO iboss Cybersecurity Paul Martini mengatakan dalam sebuah pernyataan yang dikirim melalui email ke FoxNews.com. “Apa yang benar-benar mengejutkan tentang pelanggaran terbaru ini adalah bahwa setiap orang yang memiliki akun Yahoo! mungkin informasi pribadinya telah dicuri dua atau tiga kali. Jika Yahoo! mengambil langkah-langkah untuk memantau data jaringan untuk mencari bukti pencurian secara real-time, sebagian besar dari hal ini sebenarnya bisa dicegah.”
Yahoo mengatakan pada hari Rabu bahwa mereka telah menghubungkan beberapa aktivitas seputar cookie palsu dengan “aktor yang disponsori negara” yang diyakini bertanggung jawab atas pelanggaran yang diungkapkan pada bulan September.
Yahoo belum menanggapi permintaan komentar mengenai cerita ini dari FoxNews.com.
Ikuti James Rogers di Twitter @jamesjrogers
