Et GEDmatch dataovertredelse førte til en MyHeritage phishing-svindel

I skrivende stund, hvis du prøver å besøke nettstedet til GEDmatch, en online plattform for sammenligning av DNA-profiler, vil du se en terse melding som sier "Det gedmatch nettstedet er nede for vedlikehold - For øyeblikket ingen ETA." Hva er historien bak den?

GEDmatch lider av to sikkerhetsbrudd i løpet av få dager

Det hele startet 19. juli, da GEDmatch fikk et alvorlig sikkerhetsbrudd. I følge den offisielle informasjonen fra DNA-sammenligningsplattformen, brukte en nettkriminell en registrert brukerkonto for å hacke seg inn i en av GEDmatchs servere og endre personverninnstillingene til millioner av brukere.

GEDmatch er kjent for å være en av de elektroniske tjenestene av denne typen som lar advokatfullmektiger gå gjennom brukernes DNA-poster og se etter gjerningsmennene av voldelige forbrytelser. Det gjorde nyhetene i 2018 da DNA-data som vert nettstedet førte til fangenskap av Golden State Killer. Arrestasjonen utløste også en opphetet debatt om personvernkonsekvensene av å få lovhåndteringsbyråer til å rote gjennom brukernes DNA-data uten en forhåndssøkeordre, og til slutt bestemte GEDmatch at en streng opt-in-policy ville løse problemet. Inntil nettstedet gikk offline, måtte alle brukere som hadde lastet opp sine DNA-profiler spesifikt oppgi at de er enige om å ha dataene tilgjengelig for politiet.

Da plattformen ble hacket 19. juli, fikk imidlertid nettkriminellen tilgang til verktøyene som kontrollerte disse innstillingene og gjorde alle profiler tilgjengelige for samsvar med rettshåndhevelse. I tillegg til dette ble alle profilene som tilhørte politifolk synliggjort for vanlige brukere.

Da Verogen, eier av GEDmatch, ble klok på situasjonen, tok den nettstedet umiddelbart ned og satte i gang med å løse problemet. Etter noen timer var GEDmatch tilbake på nettet, og senere forklarte et Facebook-innlegg hva som hadde skjedd. I den sa Verogens sikkerhetsfagfolk at de var "sikre" på at problemet er rettet.

Ifølge BuzzFeedNews minket tilliten mandag da de forsto at innstillingene til noen av profilene var blitt endret igjen. Denne gangen ble politiets tilgang til databasen avskåret fullstendig. GEDmatchs sikkerhetsteam tok nettstedet ned igjen og bestemte seg for ikke å ta det opp igjen før de er sikre på at sårbarheten har blitt adressert.

Stjal hackerne noen DNA-data?

Innstillingene ble endret i en relativt kort periode, og foreløpig er det ingen bevis for at noen blir arrestert for en voldelig forbrytelse på grunn av hendelsen. Likevel er brukere av GEDmatch bekymret, og med rette.

Tross alt fikk de vite at de hadde lastet opp DNA-profilen sin på en plattform som ble angrepet ikke en gang, men to ganger i løpet av noen dager. Og når det kommer til sensitivitet, topper DNA-profiler stort sett alt annet.

GEDmatch sier imidlertid at akkurat dette aspektet av angrepet ikke burde bekymre dem. I en uttalelse sa plattformen at når en bruker laster opp DNA-profilen sin, blir den kryptert, og rå data blir slettet. Med andre ord, de kriminelle hadde ingen måte å innhente genetisk informasjon på.

Kriminelle lanserer en phishing-kampanje mot MyHeritage-brukere

Opprinnelig trodde GEDmatch at hackerne ikke hadde tilgang til noen personlig informasjon overhodet. Et annet Facebook-innlegg fra 21. juli sa at "ingen brukerdata ble lastet ned eller kompromittert," men det ser ut som plattformens sikkerhetsspesialister hoppet pistolen med denne konklusjonen.

21. juli advarte MyHeritage, en annen online slektsgranskningsplattform, brukerne sine om en smart phishing-kampanje som var i ferd med å gjøre rundene. Angivelig hadde phisherne registrert et lookalike-domene, satt opp et ondsinnet påloggingsskjema og sendt ut noen overbevisende utseende e-post til MyHeritage brukere. MyHeritage ser ut til å være overbevist om at skurkene fikk e-postadressene og annen personlig informasjon fra GEDmatch, og GEDmatch gjør ingen forsøk på å motbevise dette kravet.

E-postmeldingen GEDmatch sender til sine brukere utelater påstandene om at ingen personlig informasjon ble kompromittert under angrepet, og erkjenner at GEDmatch-brukere som også er abonnert på MyHeritage, kan målrettes av en phishing-svindel.

Det obligatoriske rådet for å være mer forsiktig med e-postene du mottar, er mer gyldig enn noen gang.