A MyHeritage értesül a kiberbiztonsági incidensről, amely még 2017 októberében történt
A MyHeritage, a DNS-tesztekkel és a családi felmenőkkel foglalkozó cég a közelmúltban egy súlyos szivárgást jelentett be, amely 92,3 millió felhasználót érint. A cég június 4-én szerzett tudomást a biztonsági incidensről, miután egy névtelen biztonsági kutató értesítette a myheritage nevű, nem védett fájlról egy privát szerveren.
A MyHeritage blogbejegyzés szerint[1] a kiszivárogtatás azokat a felhasználókat érinti, akik 2017. október 26-a, azaz az adatvédelmi incidens időpontja előtt regisztráltak szolgáltatásukra. Amint a biztonsági kutató felvette a kapcsolatot a céggel, megkezdték a nyomozást, amely megerősítette hogy 92 283 889 e-mail címet és kivonatolt jelszót gyűjtöttek be egy legitim adatbázis.
A cég abban bízik, hogy az adatszivárgás csak a felhasználók e-mailjeit érintette
Mint a kutató rámutatott, más adatbázist nem találtak magánszerveren, és az ott feltárt adatállományt soha nem használták fel semmilyen célra a hackerek. Szerencsére a MyHeritage nem gyűjti az ügyfelek jelszavait. Ehelyett egyirányú hash-t tárolnak, amely felhasználónként eltérő. Így a cég abban bízik, hogy a felhasználók jelszavai biztonságban vannak, és csak az e-mail címek szivárogtak ki.
Omer Deutsch, a MyHeritage információbiztonsági igazgatója azt is hozzátette, hogy a vállalat nem látja annak jelét, hogy több fiók kerülne veszélybe 2017 októbere után:
2017. október 26. (a jogsértés időpontja) óta nem láttunk olyan tevékenységet, amely arra utalt volna, hogy a MyHeritage fiókokat feltörték volna.
A látogatók számlainformációit szerencsére nem tárolja a cég. A MyHeritage megbízható számlázási szolgáltatókra támaszkodik, beleértve a PayPal-t és a BlueSnap-et. Ezenkívül a cég által tárolt összes többi érzékeny információt (például DNS-adatokat vagy családfa-történetet) egy külön adatbázisban tárolnak, amely extra védelmi réteggel rendelkezik a feltörések ellen.
A MyHeritage által megtett extra óvintézkedések
Deutsch szerint, miután értesültek a kiszivárogtatásról, azonnali vizsgálatot indított az információbiztonsági incidenseket kezelő csoport. A cég egy professzionális kiberbiztonsági céget bízott meg a nyomozással, hogy további részletekre jusson tájékozódjon az eseményről, és tegyen további óvintézkedéseket a személyes felhasználói adatok védelme érdekében jövő.
Emellett a MyHeritage megígérte, hogy elindítja a kéttényezős hitelesítést[2] szolgáltatás, amely segíthet a felhasználóknak még jobban megvédeni fiókjaikat. Ezenkívül Deutsch minden ügyfelet arra kért, hogy változtassa meg jelszavát a maximális biztonság érdekében. Hozzátette:
Egyelőre a MyHeritage-felhasználóknak nem kell mást tenniük az incidens következtében. Mindazonáltal mindig azt javasoljuk, hogy szánjon időt a biztonsági gyakorlatok értékelésére. Kérjük, ne használja ugyanazt a jelszót több szolgáltatáshoz vagy webhelyhez. Jó gyakorlat az erősebb jelszavak használata és azok gyakori megváltoztatása.
Az adatszivárgás továbbra is komoly aggodalomra ad okot
Sok biztonsági szakértő aggódik[3] a különböző cégek és szervezetek informatikai biztonsági gyakorlatairól. Az alkalmazottaknak és a munkaadóknak tudatosabbnak kell lenniük a biztonsági kockázatokkal, és a megfelelő kiberbiztonsági képzésnek a jelenlegi időszakban az egyik legfontosabb prioritásnak kell lennie.
Míg az Equifax adatszivárog[4] 147,9 millió felhasználó személyes adatait tettek közzé (ez az eddigi legnagyobb kiszivárogtatásnak számít), számos egyéb incidens is történt[5] az elmúlt néhány évben. Annak ellenére, hogy a MyHeritage adatszivárgás nagy valószínűséggel csak a felhasználók e-mailjeiből állt, mégis privát információkról van szó, amelyeket távol kell tartani a szélhámosoktól.