Aanvallers hebben in 2015 en 2016 zo'n 32 miljoen Yahoo-accounts via vervalste cookies gehackt, zo heeft Yahoo aan de Amerikaanse beurswaakhond SEC laten weten. Eind vorig jaar maakte Yahoo al bekend dat in 2013 de gegevens van 1 miljard Yahoo-gebruikers waren gestolen.

Ook verklaarde Yahoo dat een derde partij toegang tot de broncode van het bedrijf had gekregen om te leren hoe cookies moesten worden vervalst om zo zonder wachtwoord toegang tot accounts van gebruikers te krijgen. Volgens onderzoekers zijn voor ongeveer 32 miljoen accounts dergelijke vervalste cookies gebruikt. "We denken dat een deel van deze activiteit verband houdt met de dezelfde staatsaanvaller die we voor het beveiligingsincident in 2014 verantwoordelijk houden", aldus de verklaring van Yahoo. Bij dat incident werden de gegevens van 500 miljoen gebruikers gestolen.

Halverwege februari begon Yahoo met het waarschuwen van gebruikers die via de vervalste cookies waren gehackt, alleen het aantal getroffen accounts was toen nog onbekend. 26 gebruikers waren met name het doelwit van de aanvallers. De vervalste cookies zijn eerder al ongeldig gemaakt. Vanwege de hack heeft Yahoo-directeur Marissa Mayer besloten om van haar jaarlijkse bonus af te zien en die onder het personeel te verdelen, zo liet ze via Tumblr weten.