Yahoo baru saja mengungkapkan bahwa sekitar 32 juta account pengguna diakses oleh hacker dalam dua tahun terakhir. Yahoo mengungkapkan bahwa account diakses menggunakan cookie forging attack tanpa menggunakan password.
Account tersebut adalah account Yahoo yang berdampak pada dua pelanggaran data yang berhasil diungkapkan dalam beberapa bulan terakhir.
Menurut aturan yang berlaku hari Rabu bahwa cookie caper kemungkinan terkait dengan “aktor yang disponsori negara.” . Diduga terdapat 2.014 pelanggaran data yang mengakibatkan pencurian 500 Juta akun pengguna.
“Berdasarkan penyelidikan, kami yakin pihak ketiga yang tidak berwenang mengakses kode milik perusahaan. Untuk mengetahui bagaimana cara memalsukan cookie tertentu.” kata Yahoo dalam laporan tahunannya. Laporan yang diajukan kepada Securities and Exchange Commission (SEC).
“Para ahli forensik luar telah mengidentifikasi sekitar 32 juta akun pengguna yang mereka percaya cookiesya dipalsukan atau dicuri pada tahun 2015 dan 2016. Kami percaya bahwa beberapa kegiatan ini terhubung dengan aktor yang disponsori negara. Yang diyakini bertanggung jawab atas insiden pada tahun 2014. “
Cookie Forging Attack
“Cookie Forging Attack” atau forged cookies adalah kunci digital yang memungkinkan akses ke rekening tanpa masuk kembali password.
Alih-alih mencuri password, hacker mengelabui web browser untuk memberitahu Yahoo bahwa korban sudah login. Dengan cara memalsukan browser web little token yang disebut cookies.
Yahoo mengungkapkan Cookie caper bulan Desember tahun lalu, namun berita itu sebagian besar diabaikan. Sebagai pernyataan dari Yahoo, mereka memberikan informasi tentang pelanggaran data. Terlepas dari yang terjadi di Agustus 2013 yang melibatkan lebih dari 1 Milyar Yahoo account.
Dalam sebuah pernyataan, perusahaan mengatakan hacker mungkin telah mencuri nama, alamat email, password hash, nomor telepon, tanggal lahir. Dan dalam beberapa kasus, pertanyaan keamanan yang dienkripsi atau tidak terenkripsi dan serta jawabannya.
Yahoo mulai memperingatkan pelanggan sejak bulan lalu bahwa beberapa aktor yang disponsori negara telah mengakses account Yahoo. Mereka menggunakan metode Cookie forging attack yang canggih. Namun, kabar baiknya adalah bahwa cookie forging attack sudah “tidak diakui” lagi oleh Yahoo. Sehingga cookie forging attack tidak dapat digunakan lagi untuk mengakses akun pengguna.
CEO Yahoo, Marissa Mayer Kehilangan Bonus Tahunannya
Sementara itu ketika Yahoo mengungkapkan tentang ruang lingkup Cookie caper, CEO Yahoo Marissa Mayer mengatakan dia akan melupakan bonus tahunannya. Dalam menanggapi insiden keamanan yang terjadi selama masa jabatannya dia merelakan bonus tahunan sebesar US $2 Juta. Serta semua equity award 2017, yang biasanya didapat sekitar US $12 Juta dari saham.
“Ketika September 2016 saya mempelajari bahwa sejumlah besar file database pengguna kami telah dicuri. Saya bekerjasama dengan tim berusaha mengungkapkan kejadian tersebut kepada pengguna, regulator, dan lembaga pemerintah.” . Tulis Mayer dalam sebuah catatan diterbitkan Senin di Tumblr.
“Namun, saya selaku CEO perusahaan dan karena kejadian ini terjadi selama masa jabatan saya. Saya telah sepakat untuk melupakan bonus tahunan saya dan equity grant tahunan saya tahun ini. Saya telah menyatakan keinginan bahwa bonus saya akan didistribusikan kepada karyawan pekerja keras perusahaan kami. Karena telah memberikan kontribusi begitu banyak untuk kesuksesan Yahoo pada 2016. “
Selain itu, penasihat umum Yahoo dan sekretaris Ronald Bell juga mengundurkan diri pada hari Rabu. Sesaat setelah perusahaan mengungkapkan bahwa “eksekutif senior dan staf hukum yang relevan. Menyadari bahwa aktor yang disponsori negara telah mengakses account pengguna tertentu dengan memanfaatkan Company’s account management tool.”
Penyataan berkelanjutan insiden keamanan di perusahaan telah melanda kredibilitas buruk Yahoo. Bulan lalu, Yahoo dan Verizon Communications Inc setuju untuk mengurangi harga dari kesepakatan akuisisi mendatang sebesar $ 350 juta. Ini terjadi karena menyusul dua pelanggaran data yang terjadi.
Kesepakatan, yang sebelumnya diselesaikan di $ 4,8 Miliar, sekarang bernilai sekitar $ 4,48 Miliar tunai. Dan diharapkan untuk menutup pada quarter kedua.
