搜索

[11089] 2017-03-03_雅虎又泄露3200万账户数据，这次是因为「cookie伪造」攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-03-03_雅虎又泄露3200万账户数据，这次是因为「cookie伪造」攻击 雅 虎 又 泄 露 3 2 0 0 万 账 户 数 据 ， 这 次 是 因 为 「 c o o k i e 伪 造 」 攻 击 孙 毛 毛   F r e e B u f   2 0 1 7 - 0 3 - 0 3 前 科 技 巨 头 雅 虎 近 期 公 布 的 消 息 显 示 ： 在 过 去 两 年 间 ， 有 入 侵 者 进 行 前 科 技 巨 头 雅 虎 近 期 公 布 的 消 息 显 示 ： 在 过 去 两 年 间 ， 有 入 侵 者 进 行 “ c o o k i e 伪 造 伪 造 ” 攻 击 ， 造 成 攻 击 ， 造 成 3 2 0 0 万 账 户 泄 露 。 万 账 户 泄 露 。 特 别 要 说 明 的 是 ， 此 次 泄 露 事 件 是 独 立 存 在 的 ， 和 前 几 个 月 爆 出 的 两 次 大 规 模 数 据 泄 露 不 一 样 （ 特 别 要 说 明 的 是 ， 此 次 泄 露 事 件 是 独 立 存 在 的 ， 和 前 几 个 月 爆 出 的 两 次 大 规 模 数 据 泄 露 不 一 样 （ 2 0 1 6 年 年 1 2 月 曝 月 曝 1 0 亿 账 户 泄 亿 账 户 泄 露 ， 露 ， 9 月 曝 月 曝 5 亿 账 户 泄 露 ） 。 当 然 ， 亿 账 户 泄 露 ） 。 当 然 ， 3 2 0 0 万 这 个 数 字 现 在 听 起 来 根 本 就 不 算 什 么 。 万 这 个 数 字 现 在 听 起 来 根 本 就 不 算 什 么 。 C o o k i e 伪 造 攻 击 伪 造 攻 击 雅 虎 是 在 周 三 的 一 份 监 管 机 构 文 件 中 提 到 ， 本 次 c o o k i e 伪 造 攻 击 事 件 和 “ 具 国 家 背 景 的 黑 客 ” 有 关 ， 和 雅 虎 于 2 0 1 4 年 发 生 的 一 次 5 亿 账 户 被 窃 的 事 件 幕 后 攻 击 者 应 该 是 同 一 波 人 。 雅 虎 在 给 美 国 证 券 交 易 委 员 会 （ S E C ） 提 交 的 报 告 中 说 ： “ 根 据 调 查 ， 我 们 认 为 未 经 授 权 的 第 三 方 访 问 了 公 司 的 专 属 代 码 ， 来 学 习 如 何 伪 造 相 应 c o o k i e 。 ” “ 外 部 鉴 定 专 家 已 经 确 定 有 将 近 3 2 0 0 万 账 户 在 2 0 1 5 和 2 0 1 6 年 间 遭 到 c o o k i e 伪 造 攻 击 。 我 们 认 为 其 中 的 某 些 入 侵 行 为 ， 与 2 0 1 4 年 的 安 全 事 件 相 关 国 家 背 景 支 持 的 攻 击 者 有 关 。 ” 通 过 c o o k i e 伪 造 攻 击 （ F o r g e d   c o o k i e s ） ， 攻 击 者 在 无 需 输 入 密 码 的 情 况 下 ， 就 能 访 问 受 害 者 账 户 。 利 用 伪 造 的 c o o k i e ， 入 侵 者 无 需 窃 取 密 码 ， 只 需 伪 造 一 个 w e b 浏 览 器 t o k e n 即 c o o k i e 来 诱 使 浏 览 器 相 信 雅 虎 用 户 已 经 登 录 。
实 际 上 ， 雅 虎 早 在 去 年 1 2 月 就 揭 露 了 这 起 c o o k i e 伪 造 事 件 ， 但 是 在 当 时 因 为 爆 出 2 0 1 3 年 1 0 亿 账 户 泄 露 这 样 的 大 新 闻 在 前 ， 这 个 事 情 就 完 全 被 忽 略 了 。 从 上 个 月 开 始 ， 雅 虎 就 开 始 警 告 其 用 户 可 能 被 入 侵 ， 并 陈 述 用 户 可 能 被 窃 取 的 信 息 包 括 姓 名 、 邮 箱 、 哈 希 密 码 、 电 话 号 码 、 生 日 和 一 些 加 密 或 者 未 加 密 的 安 全 问 题 和 答 案 。 当 然 ， 也 是 有 好 消 息 的 ， 雅 虎 已 经 将 那 些 伪 造 c o o k i e 都 “ 失 效 ” 了 ， 所 以 入 侵 者 不 能 再 次 访 问 用 户 账 户 。 C E O   M a r i s s a   M a y e r 损 失 惨 重 损 失 惨 重 在 雅 虎 发 布 c o o k i e 伪 造 攻 击 事 件 的 同 时 ， C E O   M a r i s s a   M a y e r 在 T u m b l r 上 发 布 博 客 称 ： “ 因 为 这 些 安 全 事 件 发 生 在 她 的 任 期 ， 因 此 她 会 放 弃 去 年 差 不 多 2 0 0 万 美 金 的 年 终 奖 和 差 不 多 价 值 1 2 0 0 万 美 元 的 股 票 ， 将 这 些 钱 发 给 公 司 辛 勤 工 作 的 员 工 ， 以 表 彰 他 们 在 2 0 1 6 年 为 雅 虎 做 出 的 贡 献 。 ” 除 了 这 些 ， 在 雅 虎 发 布 “ 企 业 高 管 及 法 律 顾 问 意 识 到 这 是 一 起 有 国 家 背 景 资 助 的 黑 客 行 为 ， 入 侵 者 利 用 公 司 的 账 户 管 理 工 具 访 问 特
定 用 户 账 号 ” 的 声 明 之 后 ， 企 业 的 总 法 律 顾 问 兼 秘 书 R o n a l d   B e l l 也 在 周 三 提 交 了 辞 呈 。 雅 虎 接 二 连 三 的 安 全 事 故 已 经 严 重 打 击 了 雅 虎 对 用 户 的 信 誉 ， 就 在 上 个 月 雅 虎 以 从 起 初 估 值 4 8 亿 美 元 到 最 终 同 意 以 3 . 5 亿 美 元 的 超 低 价 被 V e r i z o n 通 信 公 司 收 购 。 到 目 前 为 止 ， 已 经 有 超 过 4 0 起 针 对 雅 虎 安 全 事 故 的 集 体 诉 讼 ， 公 司 表 示 在 2 0 1 6 年 他 们 已 经 在 调 查 取 证 、 补 救 活 动 和 法 律 费 用 上 花 费 了 1 6 0 0 万 美 元 。 * 参 考 来 源 ： t h e h a c k e r n e w s ， F B 小 编 孙 毛 毛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理