
Yahoo! a reconnu que les données personnelles de plus de 500 millions d'utilisateurs ont été subtilisées par des pirates informatiques à la solde d'un État. Mais le géant de l'Internet reste flou sur certains détails importants de l’affaire.
Les certitudes sont rares dans l’affaire du piratage de Yahoo!, révélée jeudi 23 septembre. Le géant de l’Internet a reconnu que les informations personnelles relatives à au moins 500 millions de comptes ont été subtilisées après une attaque informatique subie en 2014.
L’ampleur du vol de données est sans précédent. Yahoo! a subi un revers bien plus important que MySpace par exemple, qui a dû reconnaître, début 2016, que les informations concernant 360 millions de comptes étaient entre les mains de pirates informatiques.
Dans le cas de Yahoo!, les cybercriminels ont en leur possession les noms, les adresses email, les dates de naissance, les adresses physiques et une base de données de mots de passe cryptés, difficilement exploitables. Mais au-delà de ces informations de base, le portail Internet a laissé certaines questions importantes en suspens.
Une attaque “soutenue par un État” ? C’est l’affirmation la plus tonitruante de Yahoo!. Le groupe assure que le piratage est l’œuvre de cybercriminels travaillant pour un gouvernement. Mais aucun élément de preuve n’a été fourni pour appuyer cette thèse et le groupe n’a pas désigné l’éventuel État responsable.
Or, par le passé, les victimes ou les autorités américaines n’ont pas hésité à identifier le pays suspect. En 2010, Google a publiquement accusé la Chine d’être à l’origine du piratage de sa messagerie Gmail. En décembre 2014, c’est la Corée du Nord qui a été mise en cause par Washington pour la très médiatique cyberattaque de Sony.
Pourquoi Yahoo! a tardé à révéler publiquement l’attaque ? C’est la question posée par le sénateur démocrate Mark Warner. “Ce qui me trouble le plus dans cette histoire est que l’intrusion remonte à 2014 et, pourtant, le public n’est informé que maintenant”, a-t-il déclaré.
Yahoo! affirme n’avoir constaté le piratage que très récemment. Le groupe précise s’être inquiété après la mise en vente sur Internet, en juillet 2016, d’une base de données contenant des informations relatives à 200 millions de comptes. Une enquête interne aurait prouvé que cette liste était fausse. Mais, dans la foulée, Yahoo! assure avoir décidé d’élargir ses investigations, ce qui l’aurait amené à découvrir qu’un vol avait bel et bien eu lieu… mais qu’il concernait plus de 500 millions de comptes et pas seulement 200 millions.
Le géant de l'Internet ne serait pas la première victime de renom à n’avoir découvert que tardivement qu’elle avait été piratée. MySpace a révélé en mai 2016 un piratage qui avait eu lieu en 2013 et, le même mois, LinkedIn avait annoncé qu’une cyberattaque remontant à 2012 avait entraîné le vol des informations personnelles de 100 millions d’utilisateurs.
Un impact sur l’accord avec Verizon ? C’est la question à 4,8 milliards de dollars. L’opérateur téléphonique Verizon pourrait être tenté de revenir sur sa décision, annoncée le 25 juillet 2016, de racheter les activités de Yahoo! pour près de cinq milliards de dollars. “Peu probable car tout le monde sait que les intrusions font partie des risques du métier”, a assuré Sameet Sinha, un analyste du cabinet de conseils B. Riley. interrogé par le Wall Street Journal.
Reste que Yahoo! a soumis, le 9 septembre, un document au gendarme américain de la Bourse, assurant “qu’il n’était au courant d’aucune faille de sécurité, d’aucune perte ou vol et d’aucun accès non autorisé à sa base de données”. Une formalité administrative qui pourrait peser lourd. S’il apparaît que Yahoo - qui a commencé à enquêter sur d’éventuelles intrusions à partir de juillet 2016 - soupçonnait ou était au courant de ce vol massif de données avant le 9 septembre, Verizon “pourrait renégocier les termes du contrat”, affirme Stephen S. Wu, un avocat américain spécialisé dans les nouvelles technologies, interrogé par le Wall Street Journal.