Yahoo Breach mungkin tidak akan kompromi kartu kredit

Ini adalah waktu untuk mengubah kata sandi.

Pengumuman Yahoo bahwa "aktor yang disponsori negara" telah mencuri data, berpotensi termasuk kata sandi tersembunyi, dari setengah miliar akun pada akhir 2014 merupakan salah satu pelanggaran keamanan terbesar yang pernah diungkapkan. Kabar "baik" - jika kita dapat menyebutnya - adalah bahwa kata sandi disembunyikan dan bahwa peretasan tampaknya tidak melibatkan kartu kredit atau rekening bank secara langsung, menurut pengumuman Yahoo.

Akun kartu kredit mungkin tidak akan terpengaruh. Tetapi "mungkin" tidak "pasti." Jika Anda cenderung untuk menggunakan kembali kata sandi di beberapa situs, sekarang saatnya untuk berhenti, dan untuk mengubah kata sandi tersebut. Dan Yahoo masih mendorong orang untuk memeriksa laporan kredit mereka.

Bukan Target lain

Ketika Anda mendengar "pelanggaran data", Anda mungkin berpikir tentang apa yang terjadi pada Target pada tahun 2013. Sekitar 70 juta pelanggan terpengaruh, dan - lebih buruk - 40 juta nomor kartu kredit dicuri. Jutaan pelanggan harus khawatir tentang aktivitas penipuan pada kartu mereka sebagai hasilnya.

Yahoo melanggar kira-kira tujuh kali lebih besar dari Target satu, tetapi untuk konsumen yang terpengaruh, itu tidak tujuh kali lebih buruk.

Perbedaannya ada hubungannya dengan apa yang dicuri. Dalam kasus Yahoo, informasi yang dicuri termasuk nama, alamat email, nomor telepon, tanggal lahir, kata sandi tersembunyi dan, dalam beberapa kasus, pertanyaan keamanan dan jawaban tidak terenkripsi dan dienkripsi, menurut rilis berita dari perusahaan. Yahoo juga mencatat bahwa penyelidikan yang sedang berlangsung menunjukkan bahwa "informasi yang dicuri tidak termasuk kata sandi yang tidak dilindungi, data kartu pembayaran, atau informasi rekening bank."

Kata sandi itu juga "hashed," menurut Yahoo. Itu berarti mereka dijalankan melalui "fungsi matematika yang mengubah string data asli menjadi string karakter yang tampak acak," menurut Yahoo.

Tanda-tanda potensi hack dilaporkan muncul awal musim panas ini di "dark web" - ruang internet yang tidak dapat dijangkau oleh mesin pencari, di mana transaksi ilegal bisa tidak terdeteksi. Seorang peretas mencoba menjual apa yang diduga 200 juta akun Yahoo untuk 3 bitcoin, atau sekitar $ 1,860, Motherboard melaporkan pada bulan Agustus. Itu di sisi murah, jika Anda menganggap bahwa kredensial proses masuk untuk bank di seluruh dunia pergi untuk “antara US $ 200 dan US $ 500 per akun” di pasar seperti ini, menurut sebuah kertas putih oleh Trend Micro.

Apa yang bisa terjadi

Kredensial yang dicuri di pelanggaran Yahoo tidak begitu berharga selama kata sandi disembunyikan. Tetapi masih ada risiko bahwa peretas dapat mengumpulkan lebih banyak informasi dari pelanggaran daripada yang kami duga.

Ambil kata sandi, misalnya. Saat kata sandi di-hash, kata sandi itu pada dasarnya tidak berguna. Tetapi mungkin saja peretas dapat "menghapus" kata sandi tersebut, kata Al Pascual, wakil presiden senior dan kepala penipuan dan keamanan di Javelin Strategy & Research.

"Ada perangkat lunak seperti Hashcat dan John the Ripper yang dirancang untuk memecahkan kata sandi," kata Pascual. "Butuh waktu dan kekuatan pemrosesan, dan bahkan kemudian tidak setiap kata sandi biasanya didekripsi."

Jika peretas berhasil menghapus beberapa kata sandi, mereka dapat menjalankan skrip untuk memukul sebanyak mungkin situs web guna melihat di mana kata sandi itu berfungsi, kata Pascual. Itu bisa memengaruhi konsumen yang menggunakan kata sandi yang sama untuk setiap akun.

Bahkan jika itu terbukti berhasil, peretas mungkin tidak dapat mengakses akun keuangan Anda. Bank dan penerbit besar memiliki perangkat lunak keamanan yang mengunci pengguna setelah beberapa upaya masuk gagal. Namun, Pascual mengatakan beberapa emiten kecil tidak memiliki kemampuan ini.

Penipuan phishing adalah potensi hasil lain dari pelanggaran, dan salah satu yang ditunggu oleh Yahoo. Perusahaan menekankan bahwa email yang dikirim kepada mereka yang terkena dampak pelanggaran "tidak meminta Anda untuk mengeklik tautan apa pun atau berisi lampiran dan tidak meminta informasi pribadi Anda" - permintaan yang merupakan taktik umum dalam phishing email. Informasi kartu kredit Anda mungkin tidak terpengaruh oleh pelanggaran Yahoo secara langsung, tetapi mungkin dikompromikan jika Anda memberikan kredensial login Anda kepada seseorang yang berpura-pura menjadi Yahoo melalui email.

»LEBIH BANYAK: Penjahat ingin poin kartu kredit Anda

Apa yang harus dilakukan tentang hal itu

Jika Anda menerima pemberitahuan dari Yahoo bahwa Anda terkena dampak pelanggaran, berikut adalah tiga hal yang dapat Anda lakukan untuk mencegah penipuan potensial pada kartu kredit Anda dan akun lain:

1. Ubah kata sandi Anda. "Orang-orang cenderung tidak memperbarui kata sandi mereka kecuali mereka benar-benar harus," kata Pascual. Peretas menganggapnya sebagai peluang besar. Jadi jika Anda menggunakan kata sandi yang sama untuk semua akun Anda, jangan hanya memperbarui kata sandi Yahoo Anda - perbarui kata sandi Anda yang lain juga. Paling tidak, pastikan kata sandi yang Anda gunakan pada kartu kredit dan rekening bank Anda tidak sama dengan yang Anda gunakan di situs web yang sepertinya dirancang oleh siswa kelas enam pada tahun 1999.
2. Baca email dengan saksama. Jangan membalas email yang mengaku berasal dari Yahoo - atau perusahaan mana pun, dalam hal ini - jika mereka meminta Anda memberikan kata sandi, nama pengguna, atau informasi pribadi lainnya, atau meminta Anda mengeklik tautan.Penipu menggunakan email yang terdengar mendesak seperti ini untuk mendapatkan informasi berharga dari konsumen yang tidak curiga.
3. Periksa laporan kredit dan akun keuangan Anda. Meskipun pelanggaran Yahoo tidak termasuk data keuangan, "kami mendorong Anda untuk tetap waspada dengan meninjau laporan akun Anda dan memantau laporan kredit Anda," menurut pernyataan dari perusahaan.

Anda bisa mendapatkan laporan kredit gratis setahun sekali dari masing-masing dari tiga biro kredit utama: Experian, Equifax, dan TransUnion. Pergi ke AnnualCreditReport.com. Jika Anda mendeteksi tanda-tanda penipuan pada akun kartu kredit Anda - katakanlah, pembelian yang tidak biasa - segera hubungi penerbit Anda dan laporkan. Hukum dengan tegas membatasi tanggung jawab keuangan Anda pada penipuan rekening bank dan penipuan kartu kredit. Bahkan jika kartu kredit Anda secara tidak langsung terpengaruh oleh pelanggaran ini, Anda mungkin tidak perlu membayarnya.

Claire Tsosie adalah penulis staf di Investmentmatome, situs web keuangan pribadi. Email: [email protected]. Twitter: @ ideclaire7.