Pada hari rabu kemarin, Yahoo! mengirimkan sebuah pemberitahuan kepada para penggunanya. Mereka memperingatkan bahwa akun mereka telah disusupi baru-baru ini. Setelah muncul bukti investigasi bahwa hacker bisa menggunakan forged cookies Yahoo! untuk login tanpa password.
Mereka diam-diam mengungkapkan data breach di pembaruan keamanan pada bulan Desember 2016, namun berita itu sebagian besar diabaikan. Sebagai pernyataan, Yahoo! memberikan informasi tentang data breach yang melibatkan lebih dari 1 milyar akun.
Berikut pesan peringatan yang dikirim kepada beberapa user Yahoo! pada Rabu kemarin:
“Based on the ongoing investigation, we believe a forged cookie may have been used in 2015 or 2016 to access your account.”
Jumlah user yang terkena serangan ini masih belum diketahui. Namun mereka telah mengkonfirmasi bahwa akun yang terpengaruh disebabkan oleh kerentanan dalam layanan email Yahoo!.
Kerentanan mengizinkan penyerang untuk menggunakan forged cookie yang dibuat oleh software yang dicuri dari dalam sistem internal perusahaan. Yang mana untuk mendapatkan akses ke akun Yahoo! tanpa password.
“Forged cookie” adalah kunci digital yang memungkinkan akses pada akun tanpa memasukan password kembali.
Berikut cara serangan forged cookies Yahoo! ini bekerja:
Bukan mencuri password, namun penyerang mengelabui web browser. Lalu memberitahu siste Yahoo! bahwa korban sudah login dengan memalsukan token browser web yang disebut cookies.
Cookies disini yaitu yang biasa digunakan setiap kali kamu login ke layanan apapun. Dan memeriksa box yang mengatakan “keep me logged in” atau “remember me”.
Jadi, bahkan jika kamu menutup jendela atau shutdown sistem, kamu tidak perlu login kembali untuk mengakses akun. Karena ada cookie yang disimpan oleh browser.
Pemberitahuan peringatan ini sudah dikirim ke hampir semua user Yahoo! yang terpengaruh. Meskipun penyelidikan penyerangan ini sampai artikel ini dipublish masih berlangsung.
Setelah beberapa kali kasus peretasan, masih minat menggunakan akun Yahoo! ?
