Si l’hypothèse de Yahoo sur les auteurs de l’attaque est sérieusement mise en doute, on peut également s’interroger sur le nombre de comptes utilisateurs réellement affectés par cette grosse violation. D’après un ancien responsable de la société, familier avec les pratiques de sécurité du fournisseur de services sur internet, Yahoo aurait tout simplement essayé de minimiser l’ampleur de la brèche. La société a en effet déclaré qu’au moins 500 millions de comptes ont été piratés, ce qui est vrai, puisque « au moins 500 millions » veut dire que le nombre de comptes réellement affectés dépasse cette valeur. Mais pour cet ancien de la société, jusqu’un milliard d’utilisateurs actifs pendant la période du piratage auraient été affectés.
Il explique en effet que l’architecture des systèmes back-end de la société est organisée de manière à ce que le type de violation qui a été rapporté ait pu exposer un nombre beaucoup plus important de comptes d’utilisateurs. Les identifiants des utilisateurs pour se connecter aux produits de Yahoo tels que Yahoo Mail, Finance et Sports étaient en effet stockés dans une base de données principale. Et cette base de données qui sert de principal référentiel pour les informations d’identification des utilisateurs de Yahoo serait encore utilisée par la société d’après les profils LinkedIn de certains employés encore en fonction chez Yahoo et une décision du tribunal en 2015.
Les identifiants étant centralisés dans cette base, il est donc très probable qu’un piratage porte sur l’ensemble des données et non une partie. Il faut également noter qu’au moment du piratage de 2014, la base de données comptait entre 700 millions et un milliard d’utilisateurs actifs accédant aux produits de Yahoo chaque mois, mais également de nombreux autres comptes inactifs qui n’ont pas été supprimés. En considérant les comptes inactifs, l’ancien responsable de Yahoo — qui prétend être régulièrement en contact avec les employés actuels de la société, y compris ceux qui enquêtent sur la brèche — estime que le nombre de comptes piratés pourrait se situer entre un et trois milliards.
Source : Business Insider