Cybersicherheitsvorfall: Update vom 5. und 6. Juni

Kommentare13

Vorgestern haben wir von einen Cybersicherheitsvorfall auf MyHeritage berichtet, bei dem die E-Mail-Adressen und gehashten Passwörter von 92,3 Millionen MyHeritage-Nutzern an einen privaten Server außerhalb von MyHeritage weitergegeben wurden.

Unser Sicherheitsteam ist noch dabei diesen Vorfall zu untersuchen und noch haben wir kein Update bezüglich der Quelle des Lecks. Wir haben keinen Missbrauch von Accounts auf MyHeritage oder Beweise dafür gefunden, dass die durchgesickerten Informationen von böswilligen Akteuren verwendet wurden.

Der Vorfall wurde uns vorgestern, am 4. Juni 2018, von einem Sicherheitsforscher um etwa 13:00 Uhr EST gemeldet, also um 20:00 Uhr in unserem Hauptsitz in Israel. Wir haben uns versammelt, um den Vorfall zu untersuchen. Haben genügend Details gesammelt, um sie öffentlich bekannt geben zu können, und dies innerhalb von 8 Stunden, nachdem wir davon erfahren hatten.

Von dem Moment an, als wir davon erfahren haben, haben wir buchstäblich rund um die Uhr gearbeitet, um weitere Schritte zum Schutz unserer Nutzer zu unternehmen, und wollten euch zwei Tage nach unserem ersten Beitrag über unsere Fortschritte auf dem Laufenden halten.

Obwohl keine Passwörter durchgesickert sind, sondern nur Hash-Versionen der Passwörter, haben wir unsere Nutzer ermutigt, ihr Passwort zu ändern, und viele haben es bereits getan. Um jedoch die Sicherheit unserer Nutzer zu maximieren, haben wir damit begonnen, ALLE Nutzerkennwörter auf MyHeritage verfallen zu lassen. Dieser Prozess wird in den nächsten Tagen stattfinden. Es umfasst alle 92,3 Millionen betroffenen Nutzerkonten sowie alle 4 Millionen zusätzliche Konten, die sich nach dem Sperrdatum vom 26. Oktober 2017 bei MyHeritage angemeldet haben. Wir haben die Kennwörter von mehr als der Hälfte der Nutzerkonten auf MyHeritage bereits ablaufen lassen. Nutzer, deren Kennwörter abgelaufen sind, müssen ein neues Kennwort setzen und können erst dann auf ihr Konto und ihre Daten auf MyHeritage zugreifen. Dieser Vorgang kann nur über eine E-Mail an die E-Mail-Adresse des MyHeritage-Kontos durchgeführt werden. Dadurch wird es für unbefugte Personen, sogar für Personen, die das Passwort des Nutzers kennen, schwieriger, auf das Konto zuzugreifen. Wir planen, den Verfall aller Passwörter in den nächsten Tagen abzuschließen. Ab diesem Zeitpunkt sind alle betroffenen Passwörter nicht länger für den Zugriff auf Konten und Daten auf MyHeritage verfügbar. Beachtet, dass andere Websites und Dienste, die MyHeritage gehören und von diesen betrieben werden, wie Geni.com und Legacy Family Tree, von dem Vorfall nicht betroffen sind.

Wie bereits erwähnt, sind wir dabei die Arbeit am Hinzufügen der Zwei-Faktor-Authentifizierung zu MyHeritage zu beschleunigen und werden darüber berichten, sobald diese aktiv ist. Es wird dringend empfohlen, dieses zu verwenden, um die Sicherheit zu erhöhen.

Nutzer, die Schwierigkeiten haben, ihr Passwort zu ändern oder andere Fragen oder Bedenken haben, wenden sich bitte per E-Mail an unser Sicherheitsteam über privacy@myheritage.com oder per Telefon unter der gebührenfreien Telefonnummer (USA) +1 888 672 2875, die rund um die Uhr verfügbar ist.

Wir glauben, dass das Eindringen auf die E-Mail-Adressen der Nutzer beschränkt ist. Wir haben keinen Grund zur Annahme, dass andere MyHeritage-Systeme kompromittiert wurden. Beispielsweise werden Kreditkarteninformationen zunächst nicht auf MyHeritage gespeichert, sondern nur bei vertrauenswürdigen, von MyHeritage verwendeten Dritt-Abrechnungsanbietern. Andere Arten von sensiblen Daten, wie Stammbäume und DNA-Daten, werden von MyHeritage auf getrennten Systemen gespeichert, getrennt von denen, die die E-Mail-Adressen speichern, und sie enthalten zusätzliche Sicherheitsebenen. Es gibt keinen Grund für uns daran zu glauben, dass diese Systeme kompromittiert wurden.

Wir haben den DSGVO-Meldeprozess bei den Behörden abgeschlossen.

Wir bereiten uns darauf vor, diesen Vorfall den Nutzern einzeln per E-Mail mitzuteilen, ein Vorgang, der aufgrund der großen Anzahl betroffener Nutzer einige Zeit in Anspruch nehmen wird.

Auch hier ist es für uns wichtig zu betonen, dass eure Privatsphäre und die Sicherheit eurer Daten stets höchste Priorität haben. Wir werden euch auch in den nächsten Tagen auf dem Laufenden halten.

Danke für euer Verständnis,
das MyHeritage-Team

Kontakt
Omer Deutsch
Chief Information Security Officer, MyHeritage
E-Mail: dpo@myheritage.com

Kommentar hinterlassen

Die E-Mail-Adresse ist privat und wird nicht angezeigt

  • Albrecht Götsch


    11. Juni 2018

    Danke für die INFO und bitte weiterhin um einen sicheren Kontakt zu MY Heritage

  • Salamonsberger Ewald


    11. Juni 2018

    Danke für die Info und ihre raschen Benachrichtigungen der User und ihre Aktivitäten

  • Greven Karl-Heinz


    12. Juni 2018

    Danke für die gute und schnelle Info und weiter so

  • Bernd Werkhausen


    12. Juni 2018

    Nach Änderung des Passwortes (Einrichtung eines neuen Passwortes) verbinden Sie mich mit einem Teil meines Stammbaumes, der angeblich von Herrn Fuchs eingerichtet ist. Das ist eine ‚Fehlinformation, ich habe den Stammbaum „Bernd Werkhausen“ persönlich eingerichtet, und mit viel Mühe aufgebaut.
    Bitte, sagen Sie mir, wie ich wieder zu meiner Ahnentafel komme, und zwar vollständig, mit Fotos soweit ich sie eingeben konnte, und vollständig!!!
    Mit freundlichen Grüßen
    Bernd Werkhausen

    • Silvia


      12. Juni 2018

      Hallo Herr Werkhausen, sind Sie eventuell zwei mal auf MyHeritage registriert? Das scheint nämlich nicht Ihr „richtiger“ Account zu sein, sondern ein Mitgliederaccount, in dem Sie Mitglied der Seite von Familie Fuchs sind. Haben Sie zufällig noch eine andere E-Mail-Adresse mit der Endung „aon.at“? Falls ja, senden Sie mir bitte kurz an germany@myheritage.com die Namen Ihrer Eltern, so dass ich überprüfen kann, dass es sich um die richtige Person handelt. Danach können Sie sich mit den richtigen Login-Daten einloggen. Schöne Grüße!

  • Reiner Dietrich


    12. Juni 2018

    Erbitte Unterstützung zur Passwortänderung. Bitte sende Sie mir ein Übergangs-Passwort an die nachfolgend genannte Mail-Adresse für My Heritage zu. Dieses werde ich dann entsprechend ändern. Vielen Dank. MfG Reiner Dietrich

  • Martha Trumann


    12. Juni 2018

    Was muss ich tun habe mein Passwort vergessen, und die Daten zur Anmeldung.

  • Anton Epp


    12. Juni 2018

    Wie und wo kann ich meine e-Mail mit einem neuen Passwort versehen?

    • Silvia


      13. Juni 2018

      Hallo zusammen,

      es tut mir leid, dass ihr Probleme mit dem Zurücksetzen eures Passworts habt. Es ist eigentlich sehr einfach. Ihr geht auf http://www.myheritage.de und meldet euch wie gewöhnlich an. Dann erhaltet ihr sofort eine Fehlermeldung, dass das Passwort abgelaufen ist und automatisch erhaltet ihr eine E-Mail von MyHeritage mit einem Link zum Einstellen eines neuen Passwortes. Das neue darf natürlich nicht identisch mit dem alten sein.

      Falls ihr keine E-Mail erhaltet, schaut doch bitte einmal im Spamordner nach. Und stellt sicher, dass ihr auch im Postfach für die richtige E-Mail-Adresse geschaut habt. Solltet ihr weiterhin Probleme haben, bitte eine E-Mail an support@myheritage.com senden. Vielen Dank!

  • Norbert Balduin


    16. Juni 2018

    Danke für die Info, ich komme nur nicht mehr an meine Daten da ich keinen Zugang mehr habe und auch nicht mit der Anleitung Zugang erhalte. Was jetzt?

    • Silvia


      18. Juni 2018

      Lieber Herr Balduin, haben auch Sie in Ihrem Spam-Ordner geschaut? Ich sehe im System, dass wir Ihnen E-Mails zum Zurücksetzen des Passworts senden, also liegen diese eventuell im Spam-Ordner. Bitte überprüfen Sie das. Vielen Dank. VG

  • Helene Seidel


    17. Juni 2018

    Danke für die gute und schnelle Info und weiter so