Un hacker, noto come peace_of_mind, sostiene di aver rubato i dati di accesso di 200 milioni di account di Yahoo. I record rubati sono attualmente in vendita su TheRealDeal, una darknet dove si trovano merci illegali e chiunque può acquistare gli account per 3 bitcoin, ovvero 1.824 dollari.

In un breve messaggio, l’hacker peace_of_mind afferma che il database di Yahoo proviene da un gruppo russo che ha violato anche LinkedIn e Tumblr, oltre a MySpace.

Nel caso degli account di Yahoo, “è probabile” il database sia stato acquisito dagli hacker nel 2012.

All’inizio della settimana Yahoo ha dichiarato di “essere a conoscenza” del fatto che il database rubato è in vendita, ma non ha confermato né smentito che i record fossero reali. “Il nostro team di sicurezza sta lavorando per accertare i fatti”, ha detto la società in una e-mail.

Già nel 2012 Yahoo aveva riportato una violazione, ma aveva parlato di soli 450.000 account. All’epoca il gruppo di hacker chiamato D33ds Company aveva rivendicato la responsabilità, ma secondo Yahoo la maggior parte delle password rubate non erano valide.

Non è chiaro se l’attacco del 2012 è collegato con questa vendita di 200 milioni di account. Altri ricercatori di sicurezza hanno riferito di un hacker russo, noto come “The Collector”, che sta vendendo decine di milioni di dati di accesso e-mail di Yahoo, Gmail e Hotmail.

Peace_of_mind ha pubblicato un campione del database di Yahoo rubato, che comprende indirizzi e-mail degli utenti, insieme alle password che sono state violate utilizzando l’algoritmo MD5.

Le password potrebbero essere facilmente decifrate attraverso un software MD5 disponibile online. Il database contiene anche gli indirizzi di posta elettronica di backup, così come le date di nascita degli utenti.

IDG News Service ha cercato diversi indirizzi e-mail provenienti dai registri rubati: il risultato è che la pagina di login di Yahoo li riconosce e richiede la password di accesso. Alcuni indirizzi e-mail risultano invece non validi.

Anche se Yahoo non ha confermato la violazione, “agli utenti è consigliato cambiare le proprie password”, ha sottolineato Adam Levin, presidente della società di sicurezza IDT911. Inoltre “gli utenti dovrebbero assicurarsi di non usare le stesse password in diversi account Internet”.