كشفت شركة ماى هريتيج MyHeritage -إحدى أكبر الشركات المتخصصة في خدمات اختبارات الحمض النووي DNA وتحديد الأنساب- عن اختراق بموقعها أدي إلى تسريب بيانات أكثر من 92 مليون عميل، حيث وجد أحد الباحثين الأمنيين على خادم خاص عناوين البريد الإلكتروني وكلمات المرور لكل عميل قام بالتسجيل بموقع الشركة قبل 26 أكتوبر من العام الماضي وحتى حدوث الاختراق.
من جهتها أعلنت شركة ماى هريتيج MyHeritage عن الاختراق في منشور عبر مدونتها قائلة: “لقد تلقى مسؤول أمن المعلومات الرئيسي في الشركة يوم الاثنين 4 يونيو 2018 في حوالي الساعة الواحدة مساءً بتوقيت الشرق الأوسط رسالة من أحد الباحثين الأمنيين بأنه وجد ملفًا باسم myheritage يحتوي على عناوين بريد إلكتروني وكلمات المرور المُشفرة على خادم خاص ليس له علاقة بخوادم MyHeritage”.
ذكرت الشركة في الإعلان عن الاختراق أن كلمات المرور التي تم اختراقها كانت مُشفرة باستخدام خوارزميات Hashing كطريقة للتشفير ولكن لم تَذكر اسم الخوارزمية حتى الآن، وقد تمكن فريق أمن المعلومات بشركة MyHeritage من التحقق من الملف والتأكد من أنه مصدره قاعدة بيانات مستخدمي الموقع الإلكتروني.
يبدو أن الضرر مقصور على عناوين البريد الإلكتروني للعملاء بينما كلمات المرور التي كانت جزءًا من الملف المخترق قد تم تجزئة كل منها باستخدام خوارزمية تجعلها عديمة الفائدة في حالة حدوث الاختراق. حتى الآن يجب اعتبار كلمات المرور المُجمَّعة آمنة بشكل عام ولكن بما أن البيان الرسمي لم يشير إلى اسم خوارزمية التجزئة المستخدمة فمن الممكن أن تكون غير مشفرة ويمكن الوصول إليها.
من جهتها لا تعتقد شركة MyHeritage أن أي أنظمة أخرى لها قد تعرضت للاختراق حيث لم يتم تخزين معلومات بطاقة الائتمان على موقعها الإلكتروني لأن عملية الدفع تتم عن طريق جهات خارجية موثوقة مثل BlueSnap وباي بال PayPal.
وفقًا للشركة فإنه يتم تخزين أنواع أخرى من البيانات الحساسة مثل أشجار العائلات ومعلومات الحمض النووي DNA على نظام منفصل يتضمن طبقات إضافية من الأمان والحماية غير موجودة على الأنظمة المستخدمة لتخزين عناوين البريد الإلكتروني.
ومنذ أن علمت الشركة بهذا الحادث أنشأت فريق استجابة للتحقيق وأعلنت ذلك عبر موقعها قائلة: “فور الاطلاع على الحادثة قمنا بإنشاء فريق استجابة لحوادث أمن المعلومات للتحقيق في الحادث. كما نتخذ خطوات فورية لإشراك شركة أمن إلكترونية مستقلة رائدة لإجراء مراجعة جنائية شاملة لتحديد نطاق الاختراق بالضبط وإجراء تقييم شامل وتقديم توصيات بشأن الخطوات التي يمكن اتخاذها للمساعدة على منع حدوث مثل هذا الاختراق في المستقبل”.
وأضافت الشركة أنها ستقوم بالعمل على تسريع إتاحة ميزة المصادقة الثنائية التي ستوفرها لجميع مستخدمي خدمات MyHeritage قريبًا، مما سيزيد من قوة أمان الحسابات على الموقع وحمايتها ضد الاختراقات.
وقد قامت الشركة بتعيين فريقًا لدعم العملاء على مدار الساعة طوال الأسبوع لمساعدة الذين لديهم مخاوف أو أسئلة حول الحادث، كما أوصت الشركة عملائها بتغيير كلمات المرور الخاصة بحساباتهم لضمان مستوي حماية أكبر.
كما اتخذت شركة MyHeritage خطوة ضرورية لها وهي إبلاغ السلطات المعنية بالحادث امتثالًا منها لقواعد وقوانين لائحة حماية البيانات الجديدة GDPR، حتى لاتتعرض لغرامات مالية كبيرة كما جاء باللائحة.
