GEDmatch ja Myheritage hyökkäysten kohteina

GEDmatch-käyttäjille tuli jokin aika sitten viesti tietomurrosta. Villit huhut, totta kai, lähtivät liikkeelle. Varsinaiseen huoleen ei ole syytä. Tämä tapaus kuitenkin taas kerran todistaa, että kaikki kiinnostavat, paljon käyttäjiä omaavat sivustot ovat koko ajan hyökkäysten kohteina eikä mikään sivusto ole 100% turvallinen. On siis tärkeätä muistaa, että "kerran netissä, aina netissä" ja "kaikki mitä on netissä, on julkista". Tietoturvaa ja yksityisyyden suojaa ei kannata koputella esim. julkaisemalla tietoja ilman henkilöiden nimenomaista lupaa ja lupaa kysyttäessä tulee selittää, mitä siitä voi seurata. N.N. tai Private User on turvallinen vain, jos sen takana ei ole oikeita tietoja. Jaa tätä viestiä vapaasti villeimpien huhujen oikaisemiseksi.

Tässä nopea käännös viestistä:

Hyvä GEDmatch-jäsen,

19. heinäkuuta aamuna GEDmatchin palvelimille kohdistui olemassa olevan käyttäjätilin kautta tietoturvaloukkaus. Tilanteen havaittumamme ajoimme palvelun alas. Tämän seurauksena kaikki käyttöoikeudet palautettiin, jolloin kaikki profiilit näkyivät kaikille käyttäjille noin 3 tunnin ajan. Tänä aikana käyttäjät, jotka eivät olleet valinneet lainvalvontavertailua, olivat kuitenkin lainvalvontasovellusten käytettävissä, ja päinvastoin, kaikki lainvalvontaan liitetyt profiilit olivat näkyvissä kaikille GEDmatch-käyttäjille. (Lainvalvontavertailu ja -sovellus = viranomaiset vertaavat GEDmatchin DNA-profiileja rikosten yhteydessä löydettyihin profiileihin rikollisten löytämiseksi).

Maanantaina 20. heinäkuuta tutkiessamme tapahtumaa ja työstäessämme pysyvää ratkaisua tämän tyyppisiltä uhilta suojautumiseksi, huomasimme, että sivusto on edelleen haavoittuvainen. Teimme päätöksen pitää se alhaalla, kunnes voimme olla varmoja, että käyttäjätiedot on suojassa hyökkäyksiltä. Myöhemmin havaittiin, että GEDmatch oli toisenkin hyökkäyksen kohde. Siinä kaikki käyttäjät asetettiin kieltäytymään lainvalvonnan vastaavuuksien etsimisestä.

Voimme vakuuttaa, että DNA-tietosi eivät ole vaarassa, koska GEDmatch ei säilytä raakadataa (DNA-tiedostoja) sivustolla. Kun lataat tietosi, tiedot koodataan ja tiedosto poistetaan. Tämä on yksi tapa suojata käyttäjien arkaluonteisia tietoja.

Lisäksi teemme yhteistyötä johtavan verkkoturvallisuusyrityksen kanssa toteuttaaksemme kattavan rikosteknisen katselmuksen. He auttavat meitä toteuttamaan parhaat mahdolliset turvatoimet. Odotamme, että sivusto on käytettävissä seuraavan päivän tai kahden kuluessa.

Olemme ilmoittaneet luvattomasta tunkeutumisesta asianomaisille viranomaisille ja jatkamme työtä tunnistaaksemme rikoksesta vastuussa olevat henkilöt.

Tänään meille ilmoitettiin, että MyHeritage-asiakkaat, jotka ovat myös GEDmatch-käyttäjiä, olivat tietojenkalasteluhuijauksen kohteena. Muista olla varovainen sähköpostien avaamisessa ja linkkien klikkaamisessa. Älä koskaan anna arkaluontoisia tietoja sähköpostitse. Jos sähköposti näyttää epäilyttävältä, ota yhteyttä viestin lähettäjään oikean puhelinnumeron tai sähköpostiosoitteen kautta. Älä vastaa epäilyttävään sähköpostiin. Voit tavoittaa GEDmatchin osoitteessa gedmatch@verogen.com tai (858) 285-4101. Tällä hetkellä meillä ei ole näyttöä siitä, että tietojenkalasteluhuijaus olisi seurausta tällä viikolla tapahtuneesta GEDmatch-tietoturvaloukkauksesta. Jatkamme tapauksen tutkimista.

Voit olla varma, että otamme nämä asiat erittäin vakavasti. Tärkein prioriteettimme on käyttäjien tietojen suojaaminen. Tiedämme, ettemme ole selvinneet tästä vastuusta tällä viikolla, ja työskentelemme kovasti palauttaaksemme luottamuksesi. Pahoittelemme tilanteen aiheuttamaa huolta ja haittaa.

Ystävällisin terveisin,

Brett Williams
Toimitusjohtaja, Verogen Inc.

Käännös: Tero M.

ALKUPERÄINEN VIESTI:

Dear GEDmatch member,

On the morning of July 19, GEDmatch experienced a security breach orchestrated through a sophisticated attack on one of our servers via an existing user account. We became aware of the situation a short time later and immediately took the site down. As a result of this breach, all user permissions were reset, making all profiles visible to all users. This was the case for approximately 3 hours. During this time, users who did not opt-in for law enforcement matching were available for law enforcement matching, and, conversely, all law enforcement profiles were made visible to GEDmatch users.

On Monday, July 20, as we continued to investigate the incident and work on a permanent solution to safeguard against threats of this nature, we discovered that the site was still vulnerable and made the decision to take the site down until such time that we can be absolutely sure that user data is protected against potential attacks. It was later confirmed that GEDmatch was the target of a second breach in which all user permissions were set to opt-out of law enforcement matching.

We can assure you that your DNA information was not compromised, as GEDmatch does not store raw DNA files on the site. When you upload your data, the information is encoded, and the raw file deleted. This is one of the ways we protect our users’ most sensitive information.

Further, we are working with a leading cybersecurity firm to conduct a comprehensive forensic review and help us implement the best possible security measures. We expect the site will be up within the next day or two.

We have reported the unauthorized access to the appropriate authorities and continue to work toward identifying the individuals responsible for this criminal act.

Today, we were informed that MyHeritage customers who are also GEDmatch users were the target of a phishing scam. Please remember to exercise caution when opening emails and clicking links. Never provide sensitive information via email. If an email seems suspicious, contact the company in question directly through the phone number or email address listed on their website, not via a reply to the suspicious email. You can reach GEDmatch at gedmatch@verogen.com or (858) 285-4101. At this time, we have no evidence to suggest the phishing scam is a result of the GEDmatch security breach this week. We are continuing to investigate the incident.

Please be assured that we take these matters very seriously. Our Number 1 responsibility is to protect the data of our users. We know we have not lived up to this responsibility this week, and we are working hard to regain your trust. We apologize for the concern and frustration this situation has caused.

Sincerely,

Brett Williams
CEO, Verogen Inc.