Le groupe internet Yahoo! faisait face vendredi à une pression importante pour expliquer comment plus de 500 millions de comptes d'utilisateurs ont pu être piratés fin 2014 par une organisation, affirme-t-il, probablement liée à un État.

Le géant américain, en pleine revente de ses activités Yahoo mail et Yahoo News à l'opérateur des télécoms américaines Verizon, a confirmé jeudi avoir été victime de vols de données d'un demi-milliard de comptes.

Ce n'est pas la première fois que Yahoo! est victime d'infiltration illégale dans ses bases de données : en 2012 des pirates avaient réussi à voler les mots de passe et noms d'utilisateurs de 453 000 comptes.

Mais cette intrusion pourrait être l'une des plus importantes de l'histoire, selon la société de sécurité Symantec.

Elle situe cette attaque comme l'une des « mégabrèches », dans la lignée d'une série déjà vues en 2014.

Les pirates ont volé des informations personnelles, noms, dates de naissance, adresses électroniques, numéros de téléphone ou mots de passe, a énuméré le groupe mais pas de données bancaires.

Le portail américain qui revendiquait un milliard de comptes en 2012, affirme collaborer étroitement avec les autorités.

Le groupe, qui n'accuse personne nommément, a jeté la responsabilité sur « une entité probablement liée à un État ».

En 10 ans, les cyberattaques contre les entreprises et les entités américaines ont quasiment quadruplé, selon le cabinet Identity Theft Resource Center.

La Chine pointée du doigt

À chaque grande opération de piratage, c'est la Chine qui est pointée du doigt.

« Si je dois annoncer la mauvaise nouvelle que mon entreprise a été piratée et qu'au moins 500 millions de comptes sont affectés, je me sentirais plus soulagé de dire que les pirates informatiques sont " commandités par un État " que de dire que c'est une bande de jeunes de 15 ans d'un endroit mal famé de la ville », estime un expert en sécurité informatique, Graham Cluley.

En l'espèce, affirme le spécialiste Timothy Carone, cette cyberattaque semble correspondre aux grosses opérations que l'on soupçonne lancées par des agences d'espionnage chinoises, russe ou encore nord-coréenne.

Au-delà de Yahoo!, les piratages se sont ainsi multipliés ces derniers mois aux États-Unis, la plupart visant les systèmes informatiques internet de grands groupes comme les distributeurs Home Depot et Target, la première banque américaine JPMorgan Chase, l'assureur santé Anthem ou encore l'éditeur de logiciel Adobe.

Le piratage des studios de cinéma Sony Pictures Entertainment en décembre 2014 avait déplacé les projecteurs sur la Corée du Nord, soupçonnée de diriger une armée de milliers de pirates informatiques. Pyongyang avait rejeté toute responsabilité.

Les Russes ne sont pas en reste : en août 2014, la firme de sécurité informatique Hold Security avait annoncé qu'un groupe de pirates russes s'était emparé de 1,2 milliard de mots de passe de sociétés américaines, permettant d'avoir accès à quelque 500 millions de comptes courriel et de se connecter à 420 000 sites internet.

Les informations dérobées aux utilisateurs de Yahoo! pourraient être utilisées ailleurs sur le web, affirme Graham Cluley.

En août, un pirate informatique baptisé « Peace » est apparu sur différents forums sur internet, proposant 200 millions de noms d'utilisateurs et de mots de passe Yahoo! pour 1900 dollars au total. « Peace » est connu pour avoir procédé de la même façon avec les données des utilisateurs de Myspace et LinkedIn.

En pleine revente avec Verizon

S'il affirme avoir pris les mesures nécessaires pour sécuriser les comptes piratés, Yahoo! recommande aux utilisateurs de changer leur mot de passe et de modifier les questions et réponses de sécurité.

Yahoo! préconise de ne pas cliquer sur des liens ni de télécharger des pièces jointes venant d'adresses électroniques « suspectes » et d'être vigilants sur toute requête portant sur une demande d'informations personnelles.

La multiplication des cyberattaques avait conduit le secteur technologique à lancer en décembre 2015 un programme visant à prévenir les utilisateurs dès qu'ils ont la conviction qu'une attaque a été effectuée par une entité commanditée par un État. Hormis l'enquête en cours, quelque 10 000 utilisateurs Yahoo! ont déjà été prévenus dans le cadre de ce programme.

Ces révélations interviennent à un moment critique pour Yahoo! en pleine cession de ses activités Yahoo News et Yahoo Mail et son milliard d'utilisateurs au géant des télécoms américain Verizon.

La vente actée en juillet par les deux groupes pour 4,8 milliards de dollars doit encore être validée par les autorités de régulation. Mais cette intrusion pourrait impacter le prix de la transaction.

Verizon qui a eu vent de cette intrusion cette semaine affirme avoir pour l'heure, une « vue restreinte sur ses conséquences ».

« Nous évaluerons [les conséquences] au fur et à mesure des développements de l'enquête en mettant en avant l'intérêt de Verizon », a réagi l'opérateur.

Pour Graham Cluley, « franchement le moment ne pouvait pas être plus mauvais pour Yahoo! ».

Le plus gros piratage connu contre une seule entreprise

PARIS - La cyberattaque sur Yahoo!, qui a affecté 500 millions de comptes utilisateurs, constitue, selon des experts, le plus gros piratage massif de données individuelles contre une seule société jamais rendu public, malgré quelques spectaculaires précédents ces dernières années.

C'est le « plus gros de l'histoire qui concerne une seule société », pour Tanguy de Coatpont, directeur général France et Afrique du Nord pour Kaspersky Lab. Michaël Bittan, associé responsable de gestion des risques cyber chez Deloitte, estime qu'il s'agit « du plus gros rendu public. Potentiellement d'autres ont pu être plus importants ».

Plus d'un milliard de mots de passe

La firme de sécurité informatique Hold Security affirme en août 2014 que des pirates russes se sont emparés de 1,2 milliard de mots de passe sur 420 000 sites internet dans le monde, des plus grandes enseignes à la plus petite page personnelle.

Hold Security surnomme le groupe de pirates « CyberVor », qui aurait ainsi eu potentiellement accès à 500 millions de comptes courriel. Mais cette annonce n'a pas été suivie de conséquences majeures.

Panique à bord en Corée du Sud

En janvier 2014, plus de deux millions de Sud-coréens annulent leurs moyens de paiement électroniques, par peur de voir leur compte bancaire « siphonné », après la révélation du vol des données de 20 millions de cartes de crédit sur plusieurs années.

Un employé d'une société d'étude de solvabilité, le Korea Credit Bureau (KCB), volait les informations personnelles de clients d'entreprises émettrices de carte de crédit lorsqu'il travaillait pour elles comme consultant et vendait ensuite ces données à des sociétés de marketing téléphonique.

Target pris pour cible

La chaîne de distribution américaine Target est victime d'une attaque informatique de grande ampleur en décembre 2013 qui affecte 110 millions de clients, 70 millions ayant pu se faire voler des données personnelles (noms, les adresses postales, les numéros de téléphone et les adresses courriel), et 40 millions des coordonnées de comptes bancaires et de cartes de crédit.

Le plus chaud

En août 2015, le groupe de pirates informatiques « The Impact Team » publie 30 gigaoctets de données utilisateurs du site de rencontre adultère Ashley Madison, contenant les noms, courriels, voire même les préférences sexuelles d'utilisateurs.

Les révélations tournent au tragique avec le suicide d'inscrits aux États-Unis et au Canada, poussant le patron du site à quitter ses fonctions. Ashley Madison était déjà en difficulté avant le piratage pour publicité mensongère: le site proposait d'effacer les données utilisateurs moyennant 19 dollars, une promesse non tenue.

Le ver dans la pomme

Des chercheurs en sécurité informatique découvrent en septembre 2015 une famille de virus baptisée « KeyRaider » qui s'attaque aux iPhones et iPad, et avait déjà réussi à l'époque à pirater plus de 225 000 comptes Apple valides.

Le virus intercepte les communications de l'appareil infecté avec la boutique de musique iTunes, et dérobe les informations d'achat. Les utilisateurs de 18 pays sont touchés, dont les États-Unis, la Chine, la France, le Royaume-Uni, le Japon...