I dag, den 4 juni 2018 ungefär klockan 1:00 EST, mottog MyHeritages chef för säkerhetsinformation ett meddelande från en säkerhetsforskare att han hade hittat en fil med namnet myheritage, som innehåller e-postadresser och hash-lösenord på en privat server utanför MyHeritage. Vårt informationssäkerhetsteam mottog filen från säkerhetsforskaren, granskade den och bekräftade att innehållet härrörde från MyHeritage och inkluderade alla e-postadresser till användare som anmälde sig till MyHeritage fram till 26 oktober 2017 och deras hash-lösenord.
Omedelbart efter mottagandet av filen analyserade MyHeritages informationssäkerhetsgrupp filen och inledde en undersökning för att bestämma hur innehållet erhölls och för att identifiera eventuellt utnyttjande av MyHeritage-systemet. Vi bestämde oss för att filen var legitim och inkluderade e-postadresserna och hash-lösenorden på 92.283.889 användare som hade anmält sig till MyHeritage till och med 26 oktober 2017, vilket är datumet för överträdelsen. MyHeritage lagrar inte användarlösenord, utan snarare en enkelriktad hash för varje lösenord, där hash-nyckeln skiljer sig åt för varje kund. Det betyder att den som har åtkomst till det hashade lösenordet inte har tillgång till de faktiska lösenorden.
Säkerhetsforskaren rapporterade att ingen annan data relaterad till MyHeritage hittades på den privata servern. Det har inte visat sig att uppgifterna i filen någonsin använts av förövarna. Sedan 26 oktober 2017 (datumet för överträdelsen) och nuvarande har vi inte sett någon aktivitet som indikerar att eventuella MyHeritage-konton har rörts.
Vi tror att intrånget är begränsat till användarens e-postadresser. Vi har ingen anledning att tro att några andra MyHeritage-system har komprometterats. Som ett exempel så lagras inte kreditkortsinformation på MyHeritage till att börja med, utan endast på betrodda leverantörer av fakturering från tredje part (t.ex. BlueSnap, PayPal) som används av MyHeritage. Andra typer av känslig data som familjeträd och DNA-data lagras av MyHeritage på segregerade system, skilda från de som lagrar e-postadresserna, och de innehåller ytterligare säkerhetslager. Vi har ingen anledning att tro att dessa system har komprometterats.
Åtgärder vi har tagit
Omedelbart efter att ha läst om händelsen inrättade vi ett team för informationssäkerhetsincidenter för att undersöka händelsen. Vi tar också omedelbara åtgärder för att engagera ett ledande, oberoende cybersäkerhetsföretag för att genomföra omfattande rättsmedicinska granskningar , bestämma omfattningen av intrånget, göra en bedömning och ge rekommendationer om åtgärder som kan vidtas för att förhindra att en sådan händelse uppstår i framtiden.
Vi vidtar åtgärder för att informera relevanta myndigheter, även enligt GDPR.
Vi kommer att skynda på vårt arbete med den kommande tvåfaktorsautentiseringsfunktionen som vi snart kommer att göra tillgänglig för alla MyHeritage-användare. Detta gör att användare som är intresserade av att utnyttja funktionen, kommer att kunna verifiera sig med hjälp av en mobilenhet utöver ett lösenord, vilket ytterligare kommer att skydda deras MyHeritage-konton mot obehörig åtkomst.
Vi har inrättat ett kundsupportteam på 24/7 för att hjälpa kunder som har problem eller frågor angående händelsen.
Vad våra användare bör göra
MyHeritage-användare som har frågor eller problem angående denna händelse kan kontakta vårt kundsupportteam för säkerhetskontroll via e-post på privacy@myheritage.com eller via telefon (USA) +1 888 672 2875, tillgängligt 24/7.
För alla registrerade användare av MyHeritage rekommenderar vi att ändra sitt lösenord på MyHeritage för maximal säkerhet. Processen för att göra detta beskrivs i MyHeritage FAQ-artikeln. När MyHeritage släpper ut den kommande tvåfaktorsautentiseringsfunktionen rekommenderar vi att alla våra användare utnyttjar det.
För närvarande finns det inga andra åtgärder som MyHeritage-användare behöver ta som ett resultat av denna incident. Vi rekommenderar dock alltid att du tar tid att utvärdera dina säkerhetsrutiner. Undvik att använda samma lösenord för flera tjänster eller webbplatser. Det är bra att använda starka lösenord och ändra dem ofta.
I framtiden
Som alltid är din integritet och säkerheten för dina uppgifter vår högsta prioritet. Vi utvärderar kontinuerligt våra rutiner och policyer och söker nya sätt att förbättra vårt säkerhetssätt. Vi förstår vikten av vår roll som vårdnadshavare av din information och arbetar varje dag för att tjäna ditt förtroende.
Tack för att du förstår.
Kontakt
Omer Deutsch
Chief Information Security Officer, MyHeritage
Email: dpo@myheritage.com
