雅虎！乱劈仅仅点击一次就造成了历史上最大的数据泄露

你知道鱼叉式网络钓鱼是历史上最大的数据泄露背后唯一的秘密武器吗？

这是真的，因为一名雅虎员工成为了一次简单的网络钓鱼攻击的受害者，并点击了一个错误的链接，让黑客在公司内部网络中站稳了脚跟。

你可能熟悉网络钓鱼攻击，试图窃取用户凭证或财务数据；然而，Spear网络钓鱼是一种有针对性的网络钓鱼形式，攻击者诱骗员工或供应商提供远程访问凭据或打开包含漏洞或有效负载的恶意附件。

以下是雅虎的大规模数据泄露是如何追溯到人为错误的，以及谁是这次黑客攻击的幕后主谋。

周三，美国政府指控两名俄罗斯间谍（Dmitry Dokuchaev和Igor Sushchin）和两名犯罪黑客（Alexsey Belan和Karim Baratov）与2014年雅虎黑客攻击案有关，该黑客入侵了约5亿雅虎用户账户。

虽然起诉书提供了2014年雅虎黑客攻击的细节，但FBI官员最近对俄罗斯联邦安全局（FSB）的两名官员如何在2014年初雇佣两名黑客获得雅虎的初步访问权给出了新的见解。

以下是雅虎黑客如何发起的：

这次黑客攻击始于2014年初，一封名为“鱼叉式网络钓鱼”(Spear Phishing)的电子邮件发给了雅虎的“半特权”员工，而不是公司高管。

虽然目前尚不清楚有多少雅虎员工是此次攻击的目标，以及黑客发送了多少电子邮件，但只要一名员工点击恶意附件或链接，攻击者就可以直接访问雅虎的内部网络。

进入后，已经在FBI头号通缉黑客名单上的亚历克赛·贝兰开始在网络周围搜索，据FBI称，他发现了两个关键资产：

• 雅虎的用户数据库（UDB）–  一个包含所有雅虎用户个人信息的数据库。
• 账户管理工具– 用于编辑数据库的管理工具。

Belan使用文件传输协议（FTP）下载了雅虎数据库，其中包含用户名、电话号码、安全问题和答案，更糟糕的是，还有密码恢复电子邮件和每个雅虎帐户独有的加密值。
恢复电子邮件和独特的加密值使Belan和同事Baratov能够访问俄罗斯间谍Dokuchaev和Sushchin要求的某些用户的帐户。

由于账户管理工具不允许对用户名进行简单的文本搜索，黑客开始根据他们的恢复电子邮件地址识别目标。

一旦被识别，黑客们就使用了被盗的加密值，称为“不“为特定用户帐户生成伪造的访问cookie，让FSB代理和Belan都可以访问用户的电子邮件帐户，而不需要任何密码。

根据联邦调查局的数据，这些cookie在2015年至2016年间被多次生成，用于访问大约5亿个账户中的“6500多个雅虎账户”。

俄罗斯间谍锁定的受害者：

起诉书称，在其他外国网络邮件和互联网相关服务提供商中，俄罗斯间谍访问了雅虎账户，这些账户属于：

• 俄罗斯副主席的助手。
• 俄罗斯内政部的一名官员。
• 在俄罗斯体育部工作的教练。
• 俄罗斯记者。
• 与俄罗斯接壤的国家的官员。
• 美国政府工作人员。
• 瑞士比特币钱包公司的员工。
• 一名美国航空公司工作人员。

FBI特工约翰·贝内特在新闻发布会上表示，雅虎于2014年就黑客事件首次与FBI联系，并在调查过程中成为“伟大的合作伙伴”。

然而，该公司在2016年12月花了两年时间公布了数据泄露的细节，并建议数亿客户更改密码。

周二，巴拉托夫被多伦多警察局逮捕，而贝拉和两名联邦安全局官员则在俄罗斯。美国已要求将这三人全部移交面临指控，但美国与俄罗斯没有引渡条约。