Yahoo-databruddet: Tre milliarder konti kompromitteret

Sagen kort

Yahoo-databruddet er betegnelsen for to separate sikkerhedshændelser, der tilsammen kompromitterede persondata tilhørende op til tre milliarder brugerkonti – det største dokumenterede databrud i internethistorien på det tidspunkt. Det første brud fandt sted i august 2013, det andet i 2014. Yahoo offentliggjorde ikke bruddet for offentligheden eller sine brugere i årevis, og først den 14. december 2016 bekendtgjorde selskabet, at ca. én milliard konti var blevet kompromitteret som følge af 2013-bruddet. Næsten et år senere, i oktober 2017, reviderede Yahoo dette tal markant opad: alle tre milliarder brugerkonti, der eksisterede på tidspunktet for 2013-bruddet, var i virkeligheden blevet berørt. Som BBC rapporterede i oktober 2017, var der tale om en opjustering af historisk omfang.

Forbrydelsen

Det primære sikkerhedsbrud fandt sted i august 2013, da ukendte hackere trængte ind i Yahoos systemer og fik adgang til data tilhørende samtlige brugerkonti på platformen på daværende tidspunkt – i alt tre milliarder konti. De kompromitterede oplysninger omfattede navne, e-mailadresser, telefonnumre, fødselsdatoer, hashede adgangskoder samt sikkerhedsspørgsmål og tilhørende svar.

Et separat brud fandt sted i 2014 og ramte over 500 millioner brugerkonti. De to hændelser er distinkte og skal behandles som selvstændige forbrydelser. Det er alene i forbindelse med 2014-bruddet, at amerikanske myndigheder har identificeret og rejst tiltale mod konkrete gerningsmænd.

Den type data, der blev stjålet, er særligt følsom, fordi sikkerhedsspørgsmål og -svar samt adgangskoder potentielt kan give adgang til andre tjenester, som de berørte brugere benytter sig af – en risiko der rækker langt ud over Yahoo-platformen alene.

Efterforskning

Den amerikanske efterforskning af 2014-bruddet mundede ud i anklager mod fire navngivne personer med tilknytning til Rusland og Canada. De tiltalte var Alexey Belan, der beskrives som en russisk hacker, de to russiske FSB-officerer Dmitry Dokuchaev og Igor Sushchin samt den canadiske statsborger Karim Baratov. Sagen illustrerer en statslig dimension ved cyberkriminalitet, idet to af de fire tiltalte var aktive efterretningsofficerer på anklagetidspunktet.

For 2013-bruddet er der ikke offentligt fremkommet oplysninger om identificerede eller tiltalte gerningsmænd. KrimiNyt har valgt ikke at spekulere i eventuelle forbindelser mellem de to hændelser, da dette ikke understøttes af de verificerede fakta i sagen.

Som Wired beskrev det, var opdagelsen af det fulde omfang af 2013-bruddet resultatet af en ny teknisk gennemgang af data, der fandt sted efter Verizons opkøb af Yahoos kerneforretning – en gennemgang der afdækkede, at den oprindelige vurdering havde undervurderet skadeomfanget markant.

Retssag og dom

Retsforfølgelsen af de fire tiltalte fandt sted i USA. Karim Baratov, der besad canadisk statsborgerskab, blev udleveret til USA og idømt fem års fængsel ved en amerikansk forbundsdomstol. De øvrige tre tiltalte – Belan, Dokuchaev og Sushchin – har ikke på noget offentligt dokumenteret tidspunkt stået for en amerikansk domstol, og det er uvist, om de er blevet udleveret.

Sagen mod de russiske statsborgere rejser bredere spørgsmål om mulighederne for at retsforfølge statslige aktører på tværs af landegrænser, særligt når de anklagede opholder sig i lande uden udleveringsaftale med USA.

Sagen i dag

Databruddet hos Yahoo fik vidtrækkende konsekvenser – ikke blot for de berørte brugere, men også kommercielt. Oplysningerne om bruddet påvirkede forhandlingerne om Verizons opkøb af Yahoo, og selskabets omdømme led betydelig skade. Som New York Times rapporterede i oktober 2017, var opjusteringen til tre milliarder konti et chok, der understregede, i hvilken grad virksomheder kan undervurdere – eller i lang tid undlade at kortlægge – omfanget af alvorlige sikkerhedshændelser.

Karim Baratov afsonede sin dom. De øvrige tre tiltalte er fortsat på fri fod, efter hvad der er offentligt tilgængeligt. Identiteten af bagmændene bag 2013-bruddet er endnu ikke offentliggjort af myndighederne. Sagen er fortsat relevant som en af de mest vidtgående påvisninger af, hvordan kombinationen af statsstøttede aktører og kriminelle hackere kan true millioner af civile brugeres data på én gang.