Yahoo : l’intrusion permet de fabriquer des passes pour des comptes

L’intrusion de 2014 chez Yahoo compromet les informations d’au moins 500 millions de comptes. Le dossier américain publié en 2017 décrit une affaire mêlant espionnage et criminalité, plutôt qu’un simple fichier revendu après un cambriolage numérique.

Les attaquants obtiennent des informations issues de la base d’utilisateurs et des éléments de fonctionnement interne. Selon l’accusation, ces éléments peuvent servir à fabriquer des cookies d’authentification. Un cookie est une preuve de session présentée au service ; s’il est forgé de manière convaincante, le système peut croire reconnaître un utilisateur légitime.

La question n’est donc pas toujours de retrouver le mot de passe exact de chaque personne. Une attaque peut viser les autres moyens par lesquels le service accorde sa confiance. Certaines personnes sont sélectionnées pour accéder à leurs messages et à leurs contacts, au-delà du seul vol massif de données.

La révélation de la compromission entraîne une enquête, des renouvellements d’accès et l’invalidation de moyens d’authentification concernés. Une réparation doit porter sur la capacité de fabriquer ou d’utiliser ces passes, pas uniquement sur les habitudes des titulaires des comptes.

Les autorités américaines accusent deux membres du FSB russe et des complices criminels. Les personnes visées n’ont pas toutes le même rôle. L’existence de charges contre un groupe ne transforme pas chaque destinataire d’un message frauduleux en victime du même acteur individuel.

Il faut enfin distinguer cet incident de celui de 2013, révélé séparément et associé à un bilan plus vaste. Additionner sans distinction les comptes de plusieurs intrusions donnerait une impression de précision trompeuse. Cette histoire porte sur le dossier de 2014 et son système de passes forgés.