Yahoo Breach kommer sannolikt inte att kompromissa med kreditkort

Det är lösenordsändringstid igen.

Yahoo: s tillkännagivande om att en "statlig sponsrad skådespelare" hade pilfered data, eventuellt inklusive dolda lösenord, från en halv miljard konton i slutet av 2014 är en av de största sådana säkerhetsbrott som någonsin publicerats. De "bra" nyheterna - om vi kan kalla det så - är att lösenorden var dolda och att hacket inte tycks ha direkt involverat kreditkort eller bankkonton, enligt Yahoo-meddelandet.

Kreditkortskonton kommer förmodligen inte att påverkas. Men "förmodligen" är inte "säkert". Om du brukar återanvända lösenord på flera webbplatser, är det dags att sluta, och ändra dessa lösenord. Och Yahoo uppmuntrar fortfarande människor att kontrollera sina kreditrapporter.

Inte ett annat mål

När du hör "dataöverträdelse" kanske du tänker på vad som hände med Target i 2013. Omkring 70 miljoner kunder drabbades och - värre - 40 miljoner kreditkortsnummer stulits. Miljontals kunder måste oroa sig för bedräglig verksamhet på sina kort som ett resultat.

Yahoo-överträdelsen är ungefär sju gånger så stor som målen, men för drabbade konsumenter är det inte sju gånger sämre.

Skillnaden har att göra med det som stulits. I Yahoo: s fall innehöll den stulna informationen namn, e-postadresser, telefonnummer, födelsedatum, dolda lösenord och i vissa fall säkerhetsfrågor och svar både okrypterat och krypterat, enligt ett pressmeddelande från företaget. Yahoo noterar också att den pågående undersökningen tyder på att "stulen information inte inkluderar oskyddade lösenord, betalkortdata eller bankkontoinformation".

Lösenorden var också "hashed", enligt Yahoo. Det betyder att de kördes genom en "matematisk funktion som omvandlar en originalsträng av data till en till synes slumpmässig sträng av tecken", enligt Yahoo.

Tecken på ett potentiellt hack uppenbarades tidigare i sommar på den "mörka banan" - ett utrymme på internet som inte kan nås av sökmotorer, där olagliga förbindelser kan bli oupptäckta. En hacker försökte sälja det som förmodligen var 200 miljoner Yahoo-konton för 3 bitcoins, eller ungefär 1.860 dollar, rapporterade moderkortet i augusti. Det är på den billiga sidan, om du anser att inloggningsuppgifter för banker runt om i världen går för "mellan US $ 200 och US $ 500 per konto" på marknadsplatser som dessa, enligt en vitbok från Trend Micro.

Vad kan hända

Referensuppgifterna som stulits i Yahoo-överträdelsen är inte så värdefulla så länge lösenordet är dolt. Men det finns fortfarande en risk för att hackare kan få mer information från överträdelsen än vi tror.

Ta lösenordet, till exempel. När lösenord har hashed är de väsentligen värdelösa. Men det är möjligt att hackare skulle kunna "ta bort" dessa lösenord, säger Al Pascual, senior vice president och chef för bedrägeri och säkerhet vid Javelin Strategy & Research.

"Det finns programvara som Hashcat och John the Ripper som är utformad för att spricka lösenord", säger Pascual. "Det tar tid och processorkraft, och även då är inte alla lösenord vanligtvis dekrypterade."

Om hackare lyckades med att ta bort några av lösenorden kunde de köra skript för att slå så många webbplatser som möjligt för att se var dessa lösenord fungerar, säger Pascual. Det kan påverka konsumenter som använder samma lösenord för varje konto.

Även om det visade sig vara framgångsrikt, skulle hackare förmodligen inte kunna komma till dina finansiella konton. Större banker och emittenter har säkerhetsprogram som låser användarna ut efter flera misslyckade inloggningsförsök. Men Pascual säger att vissa mindre emittenter inte har denna förmåga.

Phishing-bedrägerier är ett annat potentiellt resultat av överträdelsen, och en som Yahoo förutser. Företaget betonade att e-postmeddelandet skickades till de som berörs av överträdelsen "ber dig inte att klicka på några länkar eller innehålla bilagor och inte begära din personliga information" - begäran som är vanlig taktik i phishing-e-postmeddelanden. Din kreditkortsinformation kanske inte påverkas av Yahoo-överträdelsen direkt, men det kan komma att äventyras om du ger din inloggningsuppgifter till någon som låtsas vara Yahoo via e-post.

" MER: Skurkar vill ha ditt kreditkort poäng

Vad ska man göra med det

Om du fick meddelande från Yahoo om att du påverkades av överträdelsen är här tre saker du kan göra för att skydda mot eventuella bedrägerier på dina kreditkort och andra konton:

1. Ändra dina lösenord. "Människor brukar inte uppdatera sina lösenord, såvida de absolut inte måste," säger Pascual. Hackare ser det som en stor möjlighet. Så om du använder samma lösenord för alla dina konton, uppdatera inte bara ditt Yahoo-lösenord - uppdatera dina andra lösenord också. Kontrollera i alla fall att lösenord som du använder på ditt kreditkorts- och bankkonton inte är samma som du använder på webbplatser som ser ut som de designades av sjätte-graders 1999.
2. Läs e-postmeddelanden noggrant. Svara inte på e-postmeddelanden som påstås vara från Yahoo - eller något företag, för den delen - om de uppmanar dig att ange lösenord, användarnamn eller annan personlig information, eller fråga dig att klicka på en länk.Bedrägerier använder brådskande e-postmeddelanden som dessa för att få värdefull information utav intet ont anande konsumenter.
3. Kontrollera din kredit rapport och finansiella konton. Även om Yahoo: s överträdelse inte omfattade finansiella data, "uppmuntrar vi dig att vara vaksam genom att granska dina kontouppgifter och övervaka dina kreditrapporter", enligt ett uttalande från företaget.

Du kan få en gratis kreditrapport en gång om året från var och en av de tre stora kreditbyråerna: Experian, Equifax och TransUnion. Gå till AnnualCreditReport.com. Om du upptäcker tecken på bedrägeri på ditt kreditkorts konto - säg okända inköp - ring din utgivare genast och rapportera det. Lagen begränsar ditt ekonomiska ansvar för bankbedrägerier och kreditkortsbedrägerier. Även om ditt kreditkort indirekt påverkas av denna överträdelse kommer du förmodligen inte att betala för det.

Claire Tsosie är en personalförfattare på Investmentmatome, en personlig finanswebbplats. E-post: [email protected]. Twitter: @ ideclaire7.