Más de 500 millones de cuentas de Yahoo han sido robadas en lo que podría ser un ataque tras el que se encontraría un gobierno y que se remonta a 2014.

Se estima que los datos robados incluyen nombres, direcciones de email, números de teléfono, fechas de nacimiento, contraseñas y preguntas y respuestas de seguridad encriptadas o no. No parece que se hayan robado datos de tarjetas de crédito.

“En base a la investigación en curso, Yahoo cree que la información asociada con al menos 500 millones de cuentas de usuarios fue robada. La investigación no ha encontrado evidencias de que este actor relacionado con el gobierno esté actualmente en la red de Yahoo”, indicó Bob Lord, CISO de la compañía, en un blog.

En un comunicado de prensa, la compañía indicó que “Yahoo está notificando a los usuarios potencialmente afectados y ha dado pasos para asegurar sus cuentas”.

Estos pasos incluyen, según la firma, invalidar las preguntas y respuestas de seguridad para que no puedan ser utilizadas para acceder a una cuenta y pedir a los usuarios que cambien sus contraseñas, tanto a los que se hayan podido ver afectados como a los que no la hayan modificado desde 2014.

“Aunque la dimensión de la brecha es asombrosa, lo que más ha sorprendido a la industria es el hecho de que Yahoo haya tardado dos años en hacerla pública. Durante este tiempo, se habrá creado mucho más daño en las cuentas comprometidas, desde el secuestro de cuentas hasta robo de identidad y fraude”, indicaba Jamie Graves, CEO de la compañía de ciberseguridad ZoneFox.

Quien también parece sorprendido de que haya pasado tanto tiempo hasta que se ha conocido la brecha de seguridad es Verizon. La compañía anunció en julio sus planes de comprar Yahoo, y se cree que hasta hace unos días no conoció el robo de cuentas.

Verizon ha afirmado que está evaluando sus intereses con respecto a Yahoo.

La noticia de una importante brecha de seguridad apareció por primera vez en agosto, cuando un hacker llamado “Peace” intentó vender información de 200 millones de cuentas de Yahoo.

Financial Times, no obstante, indica que fuentes de Yahoo creen que se trata de dos incidentes separados, y que la brecha de “Peace” puede remontarse a 2012.

Yahoo no ha mencionado qué gobierno es sospechoso de encontrarse tras el último ataque, aunque según Reuters tres oficiales de inteligencia de Estados Unidos creen que el ataque se parece a algunos que dirigen a agencias de inteligencia rusas o hackers que actúan en su dirección.

Por el momento, no se ha confirmado nada oficialmente.