Fuite de données chez MyHeritage

Les catégories de données vérifiées dans le jeu de données MyHeritage sont les adresses e-mail et les mots de passe. Le champ des mots de passe contient des empreintes obtenues par hachage SHA-1 avec salage. Les adresses e-mail peuvent être utilisées pour l’hameçonnage ciblé, le rapprochement de comptes, les alertes concernant d’anciens comptes et les escroqueries à la réinitialisation de mots de passe. Les empreintes de mots de passe présentent quant à elles des risques supplémentaires, notamment lorsque les mots de passe sont faibles ou réutilisés.

Dans cet incident, les mots de passe en clair, les cartes de paiement, les numéros de téléphone, les adresses postales, les documents d’identité, les profils ADN et le contenu des arbres généalogiques ne doivent pas être considérés comme des données dont la fuite a été vérifiée. Néanmoins, lorsque les champs d’adresse e-mail et de mot de passe sont présents ensemble, des attaquants peuvent essayer la même combinaison sur des comptes de messagerie, de réseaux sociaux, de stockage cloud, d’achat en ligne, d’histoire familiale ou professionnels.

Pour MyHeritage, la date de la fuite doit rester le 26 octobre 2017, la date d’ajout de la fiche le 20 février 2019 et le nombre de comptes touchés 91 991 358. Le communiqué de l’entreprise explique que le fichier contenait les adresses e-mail et les mots de passe hachés d’utilisateurs ayant ouvert un compte MyHeritage; ce fichier a été repéré sur un serveur privé extérieur à l’entreprise.

Lors de la présentation du périmètre, les arbres généalogiques, les données ADN, les informations de paiement, les cartes de crédit, les documents d’identité, les numéros de téléphone et les adresses postales ne doivent pas être présentés comme des catégories de données dont la fuite est certaine. L’entreprise a indiqué que les informations de paiement sont stockées auprès de prestataires de paiement tiers, et que les arbres généalogiques et les données ADN sont conservés dans des systèmes distincts, sans preuve d’accès non autorisé à ces systèmes. La fiche MyHeritage doit donc être considérée non comme celle d’une fuite de données généalogiques sensibles, mais comme celle d’un incident de grande ampleur présentant des risques liés aux identifiants de compte et à la réutilisation des mots de passe.

Le principal groupe à risque est constitué des utilisateurs ayant ouvert un compte MyHeritage au plus tard le 26 octobre 2017. Les personnes qui utilisent le même mot de passe pour leur messagerie, leurs réseaux sociaux, leur stockage cloud, des sites d’achat en ligne, des services de généalogie ou leur compte professionnel sont davantage exposées. Même si d’anciens comptes ont été oubliés, le risque persiste lorsque le même mot de passe reste valide sur d’autres services.

Les utilisateurs susceptibles de prêter attention aux messages concernant les arbres généalogiques, l’histoire familiale ou les résultats ADN doivent également se montrer prudents face à l’hameçonnage ciblé. Lorsque des attaquants savent qu’un compte MyHeritage existe réellement, ils peuvent contacter son titulaire sous prétexte de liens familiaux, d’alertes de sécurité, d’anciens abonnements, d’archives photographiques ou de correspondances avec des membres de la famille. Pour les personnes utilisant une adresse e-mail professionnelle, le risque peut également s’étendre à des tentatives d’accès au compte professionnel à l’aide du mot de passe.

Les utilisateurs dont les données ont été retrouvées dans le jeu de données MyHeritage doivent changer le mot de passe de leur compte MyHeritage ainsi que celui de tous les comptes sur lesquels le même mot de passe est utilisé. La priorité doit être donnée aux comptes de messagerie, de réseaux sociaux, de stockage cloud, d’achat en ligne, de paiement, d’histoire familiale et professionnels. Les nouveaux mots de passe doivent être longs, uniques et choisis parmi ceux enregistrés dans un gestionnaire de mots de passe.

L’authentification à deux facteurs doit être activée sur tous les comptes importants. Les sessions actives et les appareils connectés doivent être vérifiés, et les sessions non reconnues doivent être fermées. Si vous recevez un message concernant des arbres généalogiques, des résultats ADN, des correspondances avec des membres de la famille ou la sécurité d’un ancien compte, connectez-vous à partir de l’adresse web connue du service ou de son application officielle avant de cliquer sur un lien. Ne communiquez jamais de codes à usage unique, de mots de passe de compte ou de liens de récupération au cours d’un échange avec un service d’assistance.

À long terme, les protections de base sont un mot de passe unique pour chaque service, un gestionnaire de mots de passe et l’authentification à deux facteurs. Conserver pendant des années la même combinaison d’adresse e-mail et de mot de passe sur des services à forte dimension personnelle, comme ceux consacrés à l’histoire familiale ou aux archives photographiques, facilite l’utilisation de données issues d’anciennes fuites pour tenter d’accéder à de nouveaux comptes. L’utilisation d’une adresse e-mail distincte ou d’un alias pour les comptes critiques peut être envisagée.

Les utilisateurs doivent régulièrement passer en revue leurs anciens comptes d’histoire familiale, fermer ceux qui ne sont plus nécessaires et maintenir à jour leurs adresses e-mail de récupération et leurs notifications de sécurité. Lorsqu’une adresse e-mail et une empreinte de mot de passe sont exposées, le risque ne se limite pas à un seul site : il faut mettre fin à la réutilisation du mot de passe et rester vigilant à long terme face aux messages d’hameçonnage ciblé.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans le jeu de données MyHeritage. Un résultat positif indique que l’adresse e-mail est présente dans ce jeu de données et que les champs de données vérifiés doivent être pris en compte dans l’évaluation des risques. Ce résultat ne prouve pas que des données ADN, des arbres généalogiques, des informations de carte de paiement ou des documents d’identité ont été exposés; les mesures de protection doivent être définies en fonction des risques liés à l’adresse e-mail et au mot de passe.

Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans le jeu de données MyHeritage; il n’exclut pas que l’adresse figure dans d’autres fuites de données. Les utilisateurs qui obtiennent un résultat positif doivent réinitialiser leur mot de passe, activer l’authentification à deux facteurs, passer en revue leurs anciennes sessions et vérifier par un autre canal l’authenticité des messages de sécurité ayant pour thème la généalogie ou l’histoire familiale.