Sicherheitsvorfall bei Canva – 24. Mai – FAQs

——

Diese Seite wurde am 17. Januar 10:21 Uhr AEST aktualisiert

Am 11. Januar 2020 erlangte Canva Kenntnis von einer Liste von rund 4 Millionen Canva-Konten, deren Passwörter im Rahmen der Datenangriffs vom 24. Mai gestohlen wurden (siehe untenstehende Anmerkungen vom 1. Juni 10:13 AEST). Die Passwörter wurden entschlüsselt und kürzlich online veröffentlicht.

Da unveränderte Passwörter genutzt werden könnten, um auf Canva-Konten zuzugreifen, haben wir sofort reagiert und den Zugriff auf Canva-Logins eingeschränkt. Gleichzeitig haben wir damit begonnen, sowohl unveränderte Passwörter ungültig zu machen als auch Nutzer, die mit entschlüsselten Passwörtern auf der Liste aufschienen, zu benachrichtigen.

Es sind 7 Monate vergangen, seit sich unbefugte Personen Zugriff auf unsere verschlüsselten Passwortinformationen verschafft und die Informationen im Internet zur Verfügung gestellt haben. Es scheint, dass sie zu diesem Zeitpunkt mithilfe ihrer Ressourcen versucht haben, diese Passwörter zu knacken. Passwörter der rund 4 Millionen Canva-Konten, die vom Vorfall im Mai 2019 betroffen waren, wurden nun entschlüsselt.

In den vergangenen 7 Monaten haben wir eine Vielzahl an Mitteilungen an die betroffenen Nutzer verschickt und sie darüber informiert, wie sie ihre Konten schützen können. Wenn du dein Canva-Passwort in diesem Zeitraum selbst geändert hast, musst du es nicht noch einmal ändern.

Am 12.01.2020 haben wir die Passwörter aller Nutzer, die ihr Passwort nach dem 24.05.2019 nicht selbst geändert haben, zurückgesetzt. Diese Nutzer werden bei ihrem nächsten Canva-Login aufgefordert, ihr Passwort zu ändern. Da wir die Passwörter zwangsweise zurücksetzen, benachrichtigen wir kürzlich Canva-Nutzer, die erst kürzlich aktiv waren und deren Passwörter zurückgesetzt wurden, auch direkt.

Wir benachrichtigen ebenso alle Canva-Nutzer, deren Passwörter scheinbar entschlüsselt worden sind, damit sie andere Konten schützen können, bei denen sie evtl. dasselbe Passwort verwendet haben.

Betroffene Nutzer müssen ein neues Passwort festlegen, um Canva weiterhin verwenden zu können. Bitte bedenke: Wenn dein Passwort zurückgesetzt wurde, bedeutet das nicht, dass unbefugte Personen auf dein Konto zugegriffen haben. Wir ergreifen diese Vorsichtsmaßnahme, um dein Canva-Konto zu schützen.

Hier findest du unsere Passwort-Richtlinien. Hier noch einmal unsere Empfehlungen:

• Erstelle Passwörter, die schwer zu erraten sind. Verwende dazu eine Tastenkombination (Klein- und großgeschriebene Buchstaben, Nummern und Sonderzeichen).
• Verwende einen Passwort-Manager, um all deine Internetpasswörter zu verwalten.
• Achte darauf, dass du ein sicheres Passwort verwendest, dass du noch nicht für andere Websites oder Konten gewählt hast.

Nutzer mit einer gültigen E-Mail-Adresse zum Zurücksetzen ihres Passworts können das mit dem üblichen Verfahren zum Zurücksetzen von Passwörtern erledigen. Nutzer ohne einer gültigen E-Mail-Adresse müssen das Passwort manuell zurücksetzen.

Wir entschuldigen uns für die entstandenen Unannehmlichkeiten und danken dir für deine weitere Unterstützung und Kooperation.

Sebastian Welsh (

——

Seite aktualisiert am 10. August, 23:25 AEST

Einige unserer Nutzer wurden kürzlich von haveibeenpwned.com (HIBP) und Firefox Monitor über eine Sicherheitsverletzung informiert, die am 24. Mai 2019 vorgefallen ist. Du kannst dich über den Angriff, unsere Reaktion darauf und unsere Maßnahmen informieren (siehe nachfolgende Anmerkungen vom 1. Juni, 10:13 AEST).

Der Inhalt dieser Benachrichtigungen ist korrekt und wir sind HIBP und Firefox Monitor für die Dienste, die sie für unsere Community leisten, sehr dankbar.

Es scheint, dass diese Sicherheitsbenachrichtigung für einige Personen mit Canva-Konten überraschend kam. Das ist wirklich bedauerlich. Als Teil unserer Krisenbewältigung haben wir in einem ersten Schritt versucht, alle betroffenen Nutzer per E-Mail und über In-App-Alarme zu erreichen.

Die HIBP-Benachrichtigung hatte zur Folge, dass sich einige Nutzer erkundigten, ob ihre Passwörter gefährdet waren. Die einfache Antwort lautet: Nein. Zugegriffen wurde auf einzelne salted- und bcrypt-hashed-Passwörter. Für technisch weniger versierte Nutzer: Das ist wie eine super-sichere Türe, die nur von einer Seite aus geöffnet werden kann, und die Passwörter in etwas verwandelt, das unheimlich schwer wieder zurück in das Originalpasswort konvertierbar ist – selbst für die leistungsfähigsten Computer.

Die Art und Weise, wie wir Passwörter speichern, erschwert das Erraten von Passwörtern erheblich, aber nichts ist unmöglich und es wird umso einfacher, die Passwörter zu erraten, wenn die Passwörter einfach gestrickt sind (wie z. B. password123456! oder Alex1997. Um also unsere Nutzer auf Canva und darüber hinaus zu schützen, haben wir alle unsere Nutzer aufgefordert, ihre Passwörter auf Canva und überall dort, wo sie dasselbe Passwort genutzt haben, zu ändern. Damit wir das Risiko für alle unsere Nutzer reduzieren, haben wir uns mit 1Password zusammengeschlossen. Einerseits bietet 1Password ein Jahr kostenlosen Zugriff auf sein Passwort-Manager-Service, andererseits wurden noch stärkere Passwort-Kontrollen in Canva implementiert.

Seit dem Vorfall haben wir eine Reihe interner Änderungen zum Schutz deiner Daten vorgenommen. In enger Zusammenarbeit mit dem führenden Beratungsunternehmen Mandiant und anderen Partnern haben wir das Ausmaß und die Ursachen des Angriffs ermittelt und Änderungen an unseren Systemen vorgenommen, um eine zusätzliche Schutzbarriere für unsere Nutzer zu schaffen. Zu gegebener Zeit werden wir einen Abschlussbericht zu diesem Vorfall veröffentlichen. Wenn du Fragen hast oder mehr über die neuen Maßnahmen erfahren möchtest, die wir ergriffen haben, um die Sicherheit deiner Daten auf Canva zu gewährleisten, zögere nicht, uns zu kontaktieren.

——

1. Juni, 10:13 Uhr AEST

Nach einer Untersuchung mit Experten für Cyber-Sicherheit können wir nun die Auswirkungen des Angriffs besser verstehen und möchten unserer Community so viele Informationen wie möglich weitergeben.

Am Freitag, den 24. Mai 2019, haben wir einen bösartigen Angriff auf unsere Systeme entdeckt. Diesen haben wir noch während dem Angriff gestoppt. Unsere erste Reaktion war es, Canva zu sperren und dann Behörden und Nutzer über den Vorfall in Kenntnis zu setzen. Da der Eindringling während seines Angriffs unterbrochen wurde, entschieden sich die Behörden für eine in solchen Fällen eher ungewöhnliche Strategie: Sie twitterten über den Vorfall, was eine rasche kommunikative Reaktion erforderte.

Seitdem haben wir mit Experten für Cyber-Sicherheit und Behörden wie dem FBI zusammengearbeitet, um unsere Nutzer zu schützen. Die aktuellsten Informationen werden im Folgenden kommuniziert.

• Sie haben auf Informationen aus unserer Profil-Datenbank mit bis zu 139 Millionen Nutzern zugegriffen. Die Profil-Datenbank umfasst Benutzernamen, Namen, E-Mail-Adressen, Land und vom Nutzer optional bereitgestellte Daten wie Stadt und/oder Homepage-URL, die über ihr öffentliches Profil verfügbar waren.
• Sie haben auf kryptografisch geschützte Passwörter (diese waren einzelne salted- und bcrypt-hashed-Passwörter) von jedem dieser Nutzer mit Usernamen/Passwort-Logins zugegriffen.
• Sie haben behauptet, dass sie OAuth-Login-Token von Nutzern hatten, die sich über Google angemeldet haben. Unsere OAuth-Token sind mit AES128 verschlüsselt. Die Verschlüsselungsdaten werden sicher an einem anderen Ort verwahrt. Wir haben keine Beweise dafür gefunden, dass sie die OAuth -Token heruntergeladen oder versucht haben, auf die Schlüssel zuzugreifen.
• Sie haben sich kurz Dateien mit unvollständigen Kreditkarten- und Zahlungsdaten angesehen. Wir haben keine Beweise dafür gefunden, dass diese Dateien gestohlen wurden. Die Dateien enthielten unvollständige Kreditkartendaten von vor dem 28. September 2016 (Name, Ablaufdatum, letzte 4 Ziffern, Kartenmarke und Kartenland) und Zahlungsauflistungen von vor dem 16. September 2017, die Transaktionen in Dollarbeträgen, Daten und IDs für einige Zahlungen für Nutzer und Beitragende enthielten.Diese begrenzten Kartendaten können nicht für Zahlungen verwendet werden. Canva speichert nie vollständige Kreditkarteninformationen.

Designs und Bilder werden sicher in separaten Systemen gespeichert. Es gab keine Hinweise dafür, dass auf Designs oder Bilder von Nutzern zugegriffen wurde.

Wir investieren weiterhin stark in die Sicherheit. Wir beabsichtigen, ein technisches Post-Mortem zu diesem Vorfall zu veröffentlichen, sobald unsere Untersuchungen abgeschlossen sind. Der Schutz unserer Nutzer hat für uns jedoch höchste Priorität.So gehen wir vor:

• Benachrichtigung unserer Nutzer: Wir möchten, dass unsere Nutzer wissen, dass sie betroffen sind. Wir haben Nutzer direkt per E-Mail kontaktiert. Einige Nutzer haben aber veraltete oder fehlerhafte E-Mail-Adressen, weshalb wir zudem In-App-Benachrichtigungen und die Presse genutzt haben, um Nutzer auf den Verstoß aufmerksam zu machen. Nach unserer ersten Benachrichtigung senden wir auch individuelle Folge-E-Mails an jeden Nutzer. Darin informieren wir, auf welche Daten zugegriffen wurde.
• Aufforderung zum Ändern des Passworts: Wir haben alle Nutzer, die ihre Passwörter vor dem Angriff eingestellt haben, aufgefordert, sie zu ändern. Zudem führen wir Regeln ein, die unsere Nutzer bei der Wahl eines starken Passworts unterstützen.
• Zurücksetzen von OAuth-Token: Wir haben mit unseren Partnern zusammengearbeitet, um sicherzustellen, dass alle aktiven Login-Token, die vor dem Angriff bestanden, zurückgesetzt werden. Diese Nutzer werden aufgefordert, ihr Canva-Konto erneut zu verbinden.
• Koordination mit Partnern: Wir arbeiten mit Partneragenturen, um Informationen über den Angriff zu teilen, das Risiko für Nutzer zu identifizieren und die Reaktionen zu koordinieren. Zum Beispiel warnen wir die Teams für den E-Mail-Missbrauch von großen Anbietern, damit wir Angreifern das Phishing unserer Nutzer erschweren.
• Partnerschaft mit 1Password: Wir empfehlen unseren Nutzern, dass sie für jede von ihnen genutzte Seite ein anderes Passwort verwenden. Aber wir wissen natürlich, dass das schwer ist. Wir haben uns mit 1Password zusammengetan, um Canva-Nutzern, die ihren Service noch nicht nutzen, ein Jahr lang kostenlos anzubieten.

• Ändere dein Passwort: Wenn du für Canva ein Passwort hast und dies noch nicht getan hast, empfehlen wir, dass jeder sein Passwort für Canva ändert. Wenn du für andere Websites dasselbe Passwort verwendet hast, solltest du diese ebenfalls ändern.
• Melde verdächtige E-Mails: Vorsichtshalber ermutigen wir alle, sich vor verdächtigen E-Mails zu hüten. Angreifer nutzen oft kreative Methoden, um dich dazu zu bringen, deine persönlichen Daten herauszugeben. Wenn du E-Mails erhältst, die du für verdächtig hältst, solltest du nicht auf sie klicken und nicht darauf reagieren. Wir empfehlen dir, diese bei deinem E-Mail-Provider zu kennzeichnen.
• Verwendung eines Passwort-Managers: Wir empfehlen dir, einen Passwort-Manager wie 1Password oder Google Chrome zu verwenden, um ein einzigartiges und sicheres Passwort für jede von dir genutzte Website zu generieren und es dir auch zu merken.
• Aktualisieren deines Google/Facebook-Logins, wenn wir die Verbindung getrennt haben: Wenn du dich mit Facebook oder Google anmeldest, haben wir möglicherweise deinen Login zurückgesetzt. Logge dich einfach erneut ein, um wieder in dein Canva-Konto einzusteigen.
• Aktualisiere deine Kontaktdaten: Sobald du dich bei Canva eingeloggt hast, füge bitte deine Kontaktdaten hinzu bzw. aktualisiere sie, damit wir dich bzgl. deines Kontos immer kontaktieren können.

Es tut uns sehr leid, dass dies vorgefallen ist .Jeder bei Canva hat Updates wie dieses erhalten, und auf persönlicher Ebene wissen wir natürlich, wie ärgerlich das sein kann. Wir möchten das Vertrauen, das du uns geschenkt hast, wieder aufbauen und wir werden alles dafür tun, dass uns das gelingt.

Sebastian Welsh (