MyHeritage est informé de l'incident de cybersécurité qui s'est produit en octobre 2017
MyHeritage, la société spécialisée dans les tests ADN et l'ascendance familiale, a récemment annoncé une grave fuite impliquant 92,3 millions de ses utilisateurs. La société a pris connaissance de la faille de sécurité le 4 juin, aAprès avoir été informée par un chercheur en sécurité anonyme d'un fichier non protégé appelé myheritage sur un serveur privé.
Selon l'article du blog MyHeritage,[1] la fuite affecte les utilisateurs qui se sont inscrits à leur service avant le 26 octobre 2017, date de la violation de données. Dès que le chercheur en sécurité a contacté l'entreprise, ils ont commencé l'enquête qui a confirmé que pas moins de 92 283 889 adresses e-mail et mots de passe hachés ont été récoltés à partir d'un base de données.
L'entreprise est convaincue que la violation de données n'a affecté que les e-mails des utilisateurs
Comme l'a souligné le chercheur, aucune autre base de données n'a été trouvée sur un serveur privé et le fichier de données découvert n'a jamais été utilisé à quelque fin que ce soit par des pirates. Heureusement, MyHeritage ne collecte pas les mots de passe des clients. Au lieu de cela, ils stockent un hachage à sens unique qui diffère pour chaque utilisateur. Ainsi, la société est convaincue que les mots de passe des utilisateurs sont sûrs et que seules les adresses e-mail ont été divulguées.
Omer Deutsch, directeur de la sécurité de l'information de MyHeritage, a également ajouté que la société ne voit aucun signe que d'autres comptes soient menacés après octobre 2017 :
Depuis le 26 octobre 2017 (date de la violation) et aujourd'hui, nous n'avons vu aucune activité indiquant que des comptes MyHeritage avaient été compromis.
Heureusement, les informations de compte des visiteurs ne sont pas stockées par la société. MyHeritage s'appuie sur des fournisseurs de facturation de confiance, notamment PayPal et BlueSnap. De plus, toutes les autres informations sensibles stockées par l'entreprise (telles que les données ADN ou l'historique de l'arbre généalogique) sont stockées dans une base de données distincte dotée d'une couche supplémentaire de protection contre les piratages.
Les mesures de précaution supplémentaires prises par MyHeritage
Selon Deutsch, une fois qu'ils ont été informés de la fuite, une enquête immédiate a été lancée par l'équipe de réponse aux incidents de sécurité de l'information. L'entreprise a embauché une entreprise de cybersécurité professionnelle pour mener une enquête afin d'obtenir plus de détails sur l'incident et prendre des mesures de précaution supplémentaires afin de protéger les données personnelles des utilisateurs dans le futur.
De plus, MyHeritage a promis de lancer l'authentification à deux facteurs[2] service qui pourrait aider les utilisateurs à protéger encore plus leurs comptes. De plus, Deutsch a exhorté tous les clients à changer les mots de passe pour une sécurité maximale. Il ajouta:
Pour l'instant, il n'y a aucune autre action que les utilisateurs de MyHeritage doivent prendre à la suite de cet incident. Cependant, nous vous recommandons toujours de prendre le temps d'évaluer vos pratiques de sécurité. Veuillez éviter d'utiliser le même mot de passe pour plusieurs services ou sites Web. C'est une bonne pratique d'utiliser des mots de passe plus forts et de les changer souvent.
La violation de données est toujours considérée comme une préoccupation sérieuse
De nombreux experts en sécurité sont concernés[3] sur les pratiques de sécurité des technologies de l'information adoptées par diverses entreprises et organisations. Les employés et les employeurs devraient être plus conscients des risques de sécurité, et une formation appropriée en matière de cybersécurité devrait être l'une des principales priorités à l'heure actuelle.
Alors que la fuite de données d'Equifax[4] exposé des informations privées de 147,9 millions d'utilisateurs (ce qui est considéré comme la plus grande fuite à ce jour), il y a eu plusieurs autres incidents[5] au cours des dernières années. Même si la violation de données MyHeritage, très probablement, consistait uniquement en des e-mails d'utilisateurs, il s'agit toujours d'informations privées qui doivent être tenues à l'écart des mains des escrocs.