Hvorfor blev MyFitnessPal hacket? Forklaring af bruddet på 150 millioner konti

I februar 2018 brød en uautoriseret person ind i MyFitnessPals systemer og stjal kontodata fra cirka 150 millioner brugere. Brugernavne, e-mailadresser og hashede adgangskoder blev alle kompromitteret. På det tidspunkt var det et af de ti største databrud i historien. Virksomheden opdagede ikke bruddet før i marts 2018, hvilket betød, at angriberne havde adgang til brugerdata i omtrent en måned, før nogen lagde mærke til det.

Hvis du brugte MyFitnessPal før marts 2018, var dine data næsten helt sikkert en del af dette brud. Og hvis du stadig undrer dig over, hvorfor en kalorietracker-app blev målet for et af de største hacks nogensinde, afslører svaret nogle ubehagelige sandheder om, hvordan sundheds- og fitnessapps håndterer dine data.

Denne artikel forklarer præcist, hvad der skete, hvilke data der blev eksponeret, hvad der ikke blev, om MyFitnessPal er sikkert at bruge i dag, og hvorfor privatlivets fred omkring sundhedsdata bør være en afgørende faktor, når du vælger en ernæringsapp.

Hvad skete der i MyFitnessPal databruddet?

Her er tidslinjen for begivenhederne, som de udfoldede sig:

Bruddet: Februar 2018

I slutningen af februar 2018 fik en uautoriseret part adgang til MyFitnessPals brugerkontodata. Den præcise metode til indtrængen blev aldrig fuldt ud offentliggjort. Det, der er kendt, er, at angriberen kunne udtrække et kæmpe datasæt, der indeholdt kontoinformation for cirka 150 millioner brugere.

På det tidspunkt var MyFitnessPal ejet af Under Armour, som havde købt appen i 2015 for 475 millioner dollars. Under Armour var ansvarlig for sikkerheden i MyFitnessPals infrastruktur.

Opdagelse: 25. marts 2018

MyFitnessPals sikkerhedsteam identificerede bruddet den 25. marts 2018 — cirka fire uger efter indtrængen fandt sted. En fire ugers periode mellem brud og opdagelse er ikke usædvanlig for databrud af denne skala, men det betyder, at angriberen havde uopdaget adgang til brugerdata i flere uger.

Offentliggørelse: 29. marts 2018

Under Armour offentliggjorde bruddet den 29. marts 2018, blot fire dage efter at det blev opdaget. Virksomheden underrettede de berørte brugere via e-mail og in-app beskeder og krævede, at alle konti skulle nulstille deres adgangskoder.

Efterspillet

Under Armours aktier faldt cirka 3,8% i dagene efter offentliggørelsen. Bruddet bidrog til voksende bekymringer omkring Under Armours digitale fitnessstrategi og omkostningerne ved at opretholde en stor brugerdatabase. To år senere ville Under Armour sælge MyFitnessPal til Francisco Partners for 345 millioner dollars — 130 millioner dollars mindre end den oprindelige købspris.

Hvilke data blev eksponeret i MyFitnessPal-hacket?

At forstå præcist, hvad der blev kompromitteret — og hvad der ikke blev — er vigtigt for at vurdere risikoen.

Data der blev kompromitteret

• Brugernavne. De kontonavne, der blev brugt til at logge ind på MyFitnessPal.
• E-mailadresser. De e-mailadresser, der var knyttet til hver konto.
• Hashede adgangskoder. Adgangskoderne blev ikke gemt i klar tekst. De blev hashet ved hjælp af bcrypt, en stærk hashing-algoritme. Dog blev nogle adgangskoder hashet med SHA-1, en svagere algoritme, der er mere sårbar over for cracking.

Data der ikke blev kompromitteret (ifølge Under Armour)

• Betalingsinformation. Under Armour oplyste, at betalingskortdata ikke blev påvirket, da det blev indsamlet og behandlet separat.
• Officielle identifikatorer. Sociale sikringsnumre, kørekortnumre og lignende identifikatorer blev ikke gemt af MyFitnessPal og var derfor ikke eksponeret.
• Detaljerede sundhedsdata. Under Armour oplyste, at bruddet involverede kontooplysninger, ikke maddagbogsdata, vægtlogfiler eller ernæringsoplysninger gemt i appen.

Hvorfor dette er vigtigt, selvom "bare" e-mails og adgangskoder blev eksponeret

Det er fristende at afvise bruddet som "bare" brugernavne og adgangskoder. Men den virkelige indvirkning af denne type datalækage er betydelig:

• Credential stuffing angreb. Mange mennesker genbruger adgangskoder på tværs af flere tjenester. Angribere, der knækkede de hashede adgangskoder, kunne bruge dem til at få adgang til andre konti — e-mail, bank, sociale medier, shopping — hvor den samme e-mail og adgangskodekombination blev brugt.
• Phishing-kampagner. Med 150 millioner e-mailadresser, der er bekræftet at være tilknyttet en sundheds- og fitnessapp, havde angriberne en målrettet liste til phishing-e-mails relateret til sundhed, fitness, kosttilskud og diæt. Disse e-mails kunne være meget overbevisende, fordi angriberen vidste, at modtageren brugte en kalorietracker-app.
• Data solgt på det mørke web. De stjålne MyFitnessPal-data dukkede op på mørke webmarkeder. I 2019 blev en samling af brudte databaser, herunder MyFitnessPal-data, tilbudt til salg for cirka 20.000 dollars i kryptovaluta.

Hvorfor var MyFitnessPal et mål?

En kalorietracker-app kan virke som et usædvanligt mål for hackere sammenlignet med banker eller detailhandlere. Men der er specifikke grunde til, at MyFitnessPal var attraktiv for angribere.

Omfanget af brugerbasen

Med over 150 millioner konti på det tidspunkt havde MyFitnessPal en af de største brugerbaser af enhver forbrugerapp. For angribere, der fokuserede på tyveri af legitimationsoplysninger, gjorde det enorme antal af e-mail- og adgangskodekombinationer det til et højt værdi mål, uanset hvad appen selv gjorde.

Sundhedsdata har unik værdi

Sundheds- og fitnessdata er i stigende grad værdifulde i datakapitalismen. Oplysninger om, hvad folk spiser, hvor meget de vejer, deres fitnessmål og deres kostvaner kan bruges til målrettet annoncering, forsikringsprofilering og social engineering. Selvom Under Armour oplyste, at maddagbogsdata ikke blev kompromitteret i bruddet i 2018, gør blot eksistensen af et kæmpe sundhedsdatarepository platformen til et mål.

Sikkerhed var ikke en prioritet

Under Armour var et sportsbeklædningsfirma, ikke et teknologi- eller sikkerhedsfirma. Da de erhvervede MyFitnessPal i 2015, var fokus på at vækste brugerbasen og integrere appen i Under Armours fitnessøkosystem. Investering i sikkerhedsinfrastruktur var ikke den drivende prioritet.

Brugen af SHA-1 hashing til nogle adgangskoder er et sigende detaljer. SHA-1 var blevet betragtet som kryptografisk svag i årevis før bruddet i 2018. Bedste praksis anbefalede bcrypt eller lignende stærke hashing-algoritmer. At nogle MyFitnessPal-adgangskoder stadig var hashet med SHA-1 tyder på, at sikkerhedsopgraderinger ikke blev prioriteret.

Er MyFitnessPals sikkerhed blevet forbedret siden bruddet?

Dette er det spørgsmål, som nuværende og potentielle brugere mest har brug for svar på. Det korte svar: MyFitnessPal har foretaget forbedringer, men appens ejerhistorik og forretningsmodel rejser fortsat spørgsmål.

Hvad ændrede sig efter bruddet

Efter bruddet i 2018 implementerede MyFitnessPal flere sikkerhedsforbedringer:

• Obligatoriske adgangskodenulstillinger for alle berørte konti
• Forbedret overvågning for uautoriseret adgang
• Overgang til stærkere hashing-algoritmer for adgangskoder
• To-faktor-autentifikation blev senere tilføjet som en mulighed

Hvad er ikke ændret

På trods af disse forbedringer forbliver flere strukturelle bekymringer:

• Ingen ende-til-ende kryptering for sundhedsdata. MyFitnessPal gemmer maddagbogsdata, vægtlogfiler og ernæringsoplysninger på sine servere. Disse data er ikke ende-til-ende krypteret, hvilket betyder, at virksomheden (og enhver angriber, der får adgang til serveren) kan læse dem.
• En ny ejer med andre prioriteter. Francisco Partners, den private equity-firma, der erhvervede MyFitnessPal i 2020, fokuserer på indtægtsgenerering. Investering i sikkerhed konkurrerer med andre prioriteter i denne model.
• Annoncedrevet datainnsamling. Den gratis version af MyFitnessPal understøttes af annoncer. Annoncedrevne apps indsamler i sagens natur mere brugerdata for at kunne vise målrettede annoncer. Mere datainnsamling betyder en større angrebsflade og mere data i risiko i et potentielt brud.
• Ingen offentlige sikkerhedsrevisioner. MyFitnessPal offentliggør ikke resultater fra uafhængige sikkerhedsrevisioner. Brugerne må stole på virksomhedens påstande om sikkerhedsforbedringer uden tredjepartsverifikation.

Hvorfor betyder privatlivets fred omkring sundhedsdata noget?

Hvis du registrerer, hvad du spiser, hvor meget du vejer, dine kropsmål, dine fitnessmål og dine kostvaner i en app, skaber du en detaljeret sundhedsprofil. Disse data er mere følsomme, end mange mennesker indser.

Sundhedsdata er unikt personlige

Din maddagbog afslører langt mere end kalorieantal. Den afslører medicinske tilstande (registrering af mad til diabetesstyring eller nyresygdom), mentale sundhedsmønstre (overspisning, restriktion, følelsesmæssig spisning), reproduktiv status (kostændringer relateret til graviditet), religiøse praksisser (fastemønstre), socioøkonomiske oplysninger (madvalg afspejler indkomstniveau) og mere.

Dette er ikke data, du ønsker eksponeret i et brud, solgt til datamæglere eller brugt til forsikringsprofilering.

Privatlivets fred omkring sundhedsdata er en voksende juridisk bekymring

Reglerne omkring privatlivets fred for sundhedsdata bliver strammere globalt. EU's GDPR giver stærke beskyttelser for sundhedsrelaterede data. I USA beskytter HIPAA medicinske journaler, men dækker ikke data, der frivilligt indtastes i forbrugerapps som MyFitnessPal. Dette skaber et hul, hvor meget følsomme sundhedsoplysninger har færre juridiske beskyttelser end din medicinske journal.

Forretningsmodellen betyder noget

Hvordan en virksomhed tjener penge påvirker direkte, hvordan den håndterer dine data. Apps, der er afhængige af annonceindtægter, har en økonomisk incitament til at indsamle så meget brugerdata som muligt og dele det med annoncører. Apps, der er afhængige af abonnementer, har et økonomisk incitament til at beskytte brugerdata, fordi deres indtægter kommer fra brugerens tillid, ikke datamonetisering.

Denne forskel er kritisk, når du vælger en sundhedsapp.

Hvordan vurderer man en ernæringsapps datasikkerhed?

Hvis MyFitnessPal-bruddet fik dig til at tænke over, hvor du opbevarer dine sundhedsdata, er her, hvad du skal kigge efter, når du vurderer alternativer:

Nøglespørgsmål om sikkerhed og privatliv

Faktor	Hvad du skal kigge efter	Advarsel
Forretningsmodel	Abonnementsbaseret, ingen annoncer	Annoncedrevet gratis version med datadeling
Data kryptering	Ende-til-ende kryptering for sundhedsdata	Ingen kryptering eller kun server-side
Privatlivspolitik	Klar, specifik, let at læse	Vage formuleringer om "partnere" og "tredjeparter"
Data sletning	Let at slette alle dine data permanent	Ingen klar sletningsproces
Tredjepartsdeling	Minimal eller ingen tredjeparts datadeling	Data deles med annoncører eller mæglere
Sikkerhedsrevisioner	Regelmæssige uafhængige sikkerhedsrevisioner	Ingen offentlig revisionsinformation
Brudhistorik	Ren record eller gennemsigtig om tidligere hændelser	Historik med brud og dårlig offentliggørelse
Dat placering	Servere i jurisdiktioner med stærke privatlivslove	Ingen oplysninger om dataplacering

Hvordan Nutrola håndterer dataprivatliv

Nutrola er bygget på en abonnementsmodel, der starter ved €2,50 om måneden uden annoncer på alle prisskalaer. Dette er en grundlæggende forskel fra annonceunderstøttede apps som MyFitnessPals gratis version. Når der ikke er annoncer, er der ikke noget incitament til at indsamle brugerdata til reklameformål. Din maddagbog, vægtlogfiler og ernæringsdata eksisterer for at tjene dig, ikke for at profilere dig for annoncører.

Nutrola sælger ikke brugerdata til tredjeparter. Appens indtægter kommer udelukkende fra abonnementer, hvilket betyder, at forretningsmodellen er i overensstemmelse med brugernes privatliv i stedet for imod det. Når en virksomhed tjener penge ved at holde brugerne glade og tillidsfulde, har den alle grunde til at beskytte deres data. Når en virksomhed tjener penge ved at monetisere brugerdata gennem annoncering, peger incitamenterne i den modsatte retning.

Sammenligning: MyFitnessPal vs Nutrola om privatliv og funktioner

Faktor	MyFitnessPal	Nutrola
Historik med større databrud	Ja (150M konti, 2018)	Nej
Annoncedrevet gratis version	Ja (mange annoncer)	Nej (ingen annoncer på alle niveauer)
Indtægtsmodel	Abonnementer + annoncer	Kun abonnementer
Pris	Gratis (begrænset) / $79,99 om året	Fra €2,50 om måneden
Næringsstoffer sporet	~6 pålideligt	100+
Fødevaredatabase	14M+ crowdsourced indtastninger	1.8M+ verificerede indtastninger
AI foto logging	Nej	Ja
Voice logging	Nej	Ja
Stregkodescanning	Premium kun	Ja (alle brugere)
Apple Watch + Wear OS	Grundlæggende Apple Watch kun	Begge understøttet
Opskriftsimport	Ja	Ja (med fuld ernæringsopgørelse)
Understøttede sprog	20+	9

Hvad skal du gøre, hvis dine data var i MyFitnessPal-bruddet?

Hvis du havde en MyFitnessPal-konto før marts 2018, var dine data sandsynligvis kompromitteret. Her er, hvad du skal gøre, hvis du ikke allerede har gjort det:

1. Skift din MyFitnessPal-adgangskode, hvis du ikke har gjort det siden bruddet. Brug en stærk, unik adgangskode.
2. Skift adgangskoder på enhver anden tjeneste, hvor du brugte den samme e-mail og adgangskodekombination som din MyFitnessPal-konto. Dette er det vigtigste skridt for at forhindre credential stuffing angreb.
3. Aktiver to-faktor-autentifikation på MyFitnessPal og enhver anden tjeneste, der understøtter det.
4. Brug en adgangskodeadministrator til at generere og opbevare unikke adgangskoder for hver tjeneste. Dette sikrer, at et brud på én tjeneste ikke kompromitterer dine andre konti.
5. Tjek haveibeenpwned.com for at se, om din e-mailadresse dukkede op i MyFitnessPal-bruddet eller andre kendte databrud.
6. Vær skeptisk over for uopfordrede e-mails relateret til fitness, diæt, kosttilskud eller sundhedsapps. Din e-mailadresse er i hænderne på angribere, der ved, at du er interesseret i ernæringssporing.

Ofte stillede spørgsmål

Hvornår blev MyFitnessPal hacket?

MyFitnessPal blev hacket i februar 2018. Bruddet blev opdaget den 25. marts 2018 og offentliggjort den 29. marts 2018. Cirka 150 millioner brugerkonti blev kompromitteret, hvilket gjorde det til et af de største databrud i historien på det tidspunkt. MyFitnessPal var ejet af Under Armour under bruddet.

Hvilke data blev stjålet i MyFitnessPal-hacket?

Bruddet eksponerede brugernavne, e-mailadresser og hashede adgangskoder for cirka 150 millioner konti. Nogle adgangskoder blev hashet med bcrypt (en stærk algoritme), mens andre brugte SHA-1 (en svagere algoritme). Under Armour oplyste, at betalingsinformation og detaljerede sundhedsdata (maddagbøger, vægtlogfiler) ikke blev kompromitteret.

Er MyFitnessPal sikkert at bruge i 2026?

MyFitnessPal har implementeret sikkerhedsforbedringer efter bruddet i 2018, herunder stærkere adgangskodehashing og valgfri to-faktor-autentifikation. Dog ejes appen nu af et private equity-firma, er afhængig af annonceindtægter fra gratisversionen (som incitiverer datainnsamling), og offentliggør ikke resultater fra uafhængige sikkerhedsrevisioner. Om du betragter det som "sikkert" afhænger af din personlige risikotolerance og hvor følsomme du anser dine ernæringsdata for at være.

Er MyFitnessPal blevet hacket mere end én gang?

Bruddet i 2018 er det eneste offentligt bekræftede større databrud, der påvirker MyFitnessPal. Dog blev de kompromitterede data fra bruddet i 2018 efterfølgende solgt på mørke webmarkeder og dukkede op i samlinger af legitimationsoplysninger, der cirkulerede i årevis efter den oprindelige hændelse.

Hvordan ved jeg, om mine MyFitnessPal-data var i bruddet?

Hvis du havde en MyFitnessPal-konto før marts 2018, var dine data næsten helt sikkert påvirket — bruddet kompromitterede cirka 150 millioner af de cirka 150 millioner konti, der eksisterede på det tidspunkt. Du kan tjekke haveibeenpwned.com for at bekræfte, om din e-mailadresse dukkede op i bruddet. MyFitnessPal sendte også e-mailnotifikationer til berørte brugere og krævede adgangskodenulstillinger.

Hvilken kalorietracker er den mest private og sikre?

Se efter apps med abonnementsbaserede forretningsmodeller og ingen annoncer, da disse har mindre incitament til at indsamle og monetisere brugerdata. Nutrola opererer på en abonnementsmodel, der starter ved €2,50 om måneden uden annoncer på nogen niveau, hvilket betyder, at der ikke er nogen annonce-drevet datainnsamling. Appen sælger ikke brugerdata til tredjeparter. Udover privatliv tilbyder Nutrola AI-drevet madlogging (foto, stemme, stregkode), sporer over 100 næringsstoffer fra en verificeret database med 1,8 millioner fødevarer og understøtter Apple Watch, Wear OS og ni sprog.