Yahoo piraté : la situation devient vraiment problématique pour Verizon

De l’Allemagne aux États-Unis, le piratage massif dont Yahoo vient de rendre compte en a refroidi plus d’un.

La nouvelle est tombée ce mercredi : le groupe Internet, qui avait soufflé l’année passée sa vingtième bougie, a reconnu avoir été victime, à l’été 2013, d’une intrusion ayant « probablement » exposé des informations associées à plus d’un milliard de comptes d’utilisateurs.

Parmi les données en question figurent des mots de passés chiffrés avec l’algorithme MD5, sur les faiblesses duquel s’accordent les experts en sécurité. Des « questions de sécurité » (destinées à la réinitialisation des mots de passe) ont également fuité… et elles n’étaient pas toutes cryptées.

L’annonce intervient moins de trois mois après l’officialisation d’un autre hack d’envergure dont le bilan est d’au moins 500 millions de comptes affectés.

Ce premier épisode avait déjà changé la donne auprès de Verizon, qui avait signé, au mois de juillet, un accord à 4,83 milliards de dollars pour s’emparer du cœur d’activité de Yahoo dans les services Web.

Le groupe télécoms américain avait affirmé avoir « des raisons de croire » que l’incident pouvait justifier la révocation du contrat. Il existe effectivement une clause selon laquelle la transaction peut être remise en cause s’il y a lieu de penser qu’un événement « peut avoir un effet négatif sur l’entreprise [achetée], sur ses actifs, sur ses résultats ou sur sa situation financière ».

Jusqu’alors, on évoquait plutôt une renégociation du prix ; en l’occurrence, un rabais d’un milliard de dollars. Le deuxième piratage aurait, d’après Bloomberg, redistribué les cartes : Verizon n’exclurait plus d’annuler tout bonnement le deal.

Il s’agirait surtout d’éviter les retombées juridiques, d’autant plus que quelque 150 000 collaborateurs du gouvernement américain sont concernés.

La tournure des événements s’est répercutée en Bourse, où l’action Yahoo a perdu 6,11 % en séance ce jeudi, s’établissant à 38,41 dollars – une baisse sans précédent depuis le mois de février.

De l’autre côté de l’Atlantique, le BSI (Bundesamt für Sicherheit in der Informationstechnik, équivalent allemand de notre ANSSI) a haussé le ton.

Assurant que le MD5 « doit être considéré comme non sécurisé », son président Arne Schönbohm a invité tous les citoyens allemands à reconsidérer leurs usages, rappelant qu’il existe « des fournisseurs nationaux pour lesquels la sécurité n’est pas un mot inconnu »…