Yahoo piraté : les sanctions tombent dans le top management

Ronald Bell aura passé plus de dix-sept ans chez Yahoo.

Arrivé à l’été 1999 au sein de la société Internet pionnière, l’intéressé avait gravi les échelons jusqu’à devenir, en 2012, directeur juridique et secrétaire général.

Il n’occupe plus ce poste depuis le 1^er mars 2017, date officielle de son départ… sans indemnités.

Cette annonce coïncide avec la fin de l’enquête qu’un comité indépendant monté en interne a menée, ces derniers mois, sur les piratages massifs dont Yahoo s’est déclaré victime.

Un bilan est dressé dans le rapport annuel – formulaire 10-K – communiqué à la SEC, autorité américaine de régulation des marchés financiers.

À qui la faute ?

L’accent est mis sur le hack dévoilé le 22 septembre dernier.

Survenue fin 2014, l’attaque a entraîné un accès non autorisé à des informations associées à plus d’un demi-milliard de comptes d’utilisateurs.

Il aura fallu deux ans à Yahoo pour en rendre compte… alors même que son équipe sécurité a « très rapidement été au courant », selon les conclusions de l’enquête.

L’équipe juridique avait, à l’époque, été avertie. Elle n’avait cependant pas, malgré les renseignements dont elle disposait, ordonné d’investigation plus en profondeur.

Déplorant des « soucis de communication, de management et de reporting [qui] ont contribué à une mauvaise gestion de l’incident », Yahoo n’attribue pas explicitement la faute à Ron Bell. Mais c’est tout comme.

Pas de bonus pour la Mayer

Le board a, en parallèle, pris la décision de ne pas verser de prime annuelle à Marissa Mayer. Affirmant n’avoir été mise au courant du hack en question qu’au mois de septembre 2016, la dirigeante a par ailleurs demandé que son attribution annuelle en actions soit redistribuée aux employés.

En pages 45 et 46 du 10-K, on en apprend un peu plus sur la technique de « cookie forging » que Yahoo avait évoquée pour la première fois dans son rapport trimestriel d’activité remis en novembre à la SEC.

Le groupe Internet estime que le hack de 2014 est le fruit d’une « agent piloté par un État ». Ledit agent a, par la suite, créé des cookies qui lui ont permis d’accéder de manière récurrente à certaines données sans mot de passe. Un premier bilan officiel est établi : environ 32 millions de comptes seraient concernés sur la période 2015-2016.