Fuite de données MyHeritage (2017)

En octobre 2017, le service israélien de généalogie et de tests ADN à domicile MyHeritage a subi une fuite de données ayant exposé environ 92 millions de comptes utilisateurs. Fait remarquable, la fuite est restée indétectée pendant plus de sept mois — elle n'a été révélée que le 4 juin 2018, lorsqu'un chercheur en sécurité a découvert un fichier nommé myheritage sur un serveur externe privé.

Ce qui s'est passé

Le fichier exfiltré contenait les adresses e-mail et les empreintes de mots de passe de tous les utilisateurs inscrits sur MyHeritage au plus tard le 26 octobre 2017 — date à laquelle la fuite est supposée s'être produite. Le total s'élevait à 91 991 358 comptes. MyHeritage a déclaré n'avoir aucune preuve que les données aient été utilisées par les attaquants, ni avoir constaté d'activité anormale sur les comptes utilisateurs dans l'intervalle.

L'entreprise a reconnu franchement ne pas pouvoir déterminer dans un premier temps si la fuite résultait d'un pirate externe ou d'un acteur interne — par exemple un employé malveillant — et a mandaté un cabinet indépendant de cybersécurité pour enquêter.

Données exposées

Élément crucial, la fuite se limitait aux identifiants :

• des adresses e-mail ;
• des mots de passe stockés sous forme d'empreintes SHA-1 salées — MyHeritage a souligné ne jamais stocker de mots de passe en clair, et que l'empreinte de chaque utilisateur utilise une clé (un sel) différente.

La fuite n'a pas exposé les données les plus sensibles du service : les données de cartes de paiement étaient gérées par des prestataires tiers et jamais stockées par MyHeritage, et les résultats des tests ADN ainsi que les arbres généalogiques étaient conservés sur des systèmes séparés et cloisonnés, non affectés. Ce cloisonnement a considérablement limité le préjudice.

Impact et réaction

MyHeritage a divulgué la fuite le lendemain de sa découverte — un délai exceptionnellement court, motivé en partie par le RGPD européen, entré en vigueur quelques jours plus tôt (le 25 mai 2018) et imposant une notification des violations sous 72 heures. L'entreprise a recommandé à tous les utilisateurs de changer leur mot de passe, mis en place une équipe dédiée de réponse à incident et s'est engagée à déployer l'authentification à deux facteurs.

Les mots de passe étant salés et hachés, le risque immédiat de prise de contrôle de comptes était plus faible que dans les fuites en clair comme celle de VK — mais le SHA-1 salé est rapide à calculer, de sorte que les mots de passe faibles restaient cassables, et la liste d'e-mails elle-même était utile pour le hameçonnage visant les personnes intéressées par la généalogie et les tests ADN.

Pourquoi c'est important

MyHeritage est devenu un test précoce et très médiatisé de la réponse aux violations à l'ère du RGPD : divulgation rapide, périmètre clair de ce qui était ou non exposé, et remédiation visible (2FA, réinitialisation des mots de passe). L'incident a aussi illustré le principe de cloisonnement des données bien appliqué — en conservant les résultats ADN, les arbres généalogiques et les données de paiement sur des systèmes distincts, MyHeritage a fait en sorte qu'une fuite d'identifiants ne se transforme pas en exposition catastrophique d'informations génétiques et généalogiques irremplaçables.