Более 92 млн пользователей сайта MyHeritage стали жертвами утечки данных

В понедельник, 4 июня, посвященный семейной генеалогии сайт MyHeritage узнал о масштабной утечке данных и в тот же день уведомил о ней своих пользователей. Об утечке стало известно, когда исследователь безопасности обнаружил на стороннем сервере архив с данными более 92 млн пользователей MyHeritage.

Архив содержал только электронные адреса и хеши паролей, но не банковские данные и результаты тестов ДНК. Согласно уведомлению MyHeritage, для обработки денежных операций компания использует сторонние сервисы, а значит, данные банковских карт не сохраняются в ее системах. Результаты тестов ДНК хранятся на отдельном сервере, не затронутом инцидентом.

Судя по датам создания некоторых учетных записей, утечка произошла 26 октября 2017 года. Стала ли компания жертвой взлома, или данные были проданы третьей стороне недобросовестным сотрудником, пока неизвестно.

По уверению MyHeritage, учетные записи пользователей в полной безопасности, поскольку каждый пароль зашифрован с помощью отдельного уникального ключа шифрования. Со дня атаки (26 октября 2017 года) никаких свидетельств компрометации учетных записей пользователей обнаружено не было.

Компания уведомила своих клиентов об утечке в день ее обнаружения в соответствии с недавно вступившим в силу в Евросоюзе Общим регламентом по защите данных (General Data Protection Regulation, GDPR). Согласно GDPR, компании обязаны сообщать своим пользователям об утечках в течение трех дней с момента их обнаружения.

MyHeritage обратилась к ИБ-компании с целью определить масштабы инцидента и выявить возможные хакерские атаки на другие системы. Кроме того, компания обещает ввести на своем сайте двухфакторную аутентификацию.