23andMe już nie istnieje, ale pójdzie do sądu. Chodzi o wyciek danych
Prokurator generalny Kalifornii, Rob Bonta, zapowiedział pozew przeciwko Chrome Holding, wcześniej znanemu jako 23andMe. Jak podaje BBC, śledztwo władz stanu dotyczy wycieku z 2023 r., w którym ujawniono wrażliwe dane genetyczne i informacje rodzinne blisko 7 mln użytkowników.
Pozew ma dotyczyć tego, że firma 23andMe, która obecnie funkcjonuje pod nazwą Chrome Holding, nie zabezpieczyła właściwie danych klientów. Rob Bonta ocenił, że nie wdrożono podstawowych środków ochrony, a później wprowadzono użytkowników w błąd co do skali naruszenia bezpieczeństwa. Wyciek objął nie tylko dane o genetycznych predyspozycjach i czynnikach ryzyka zdrowotnego. Ujawniono też informacje o biologicznych krewnych i pochodzeniu etnicznym użytkowników.
Jak doszło do wycieku danych w 23andMe?
Atak miał polegać na tzw. credential stuffing. Hakerzy wykorzystali hasła ujawnione wcześniej w innych naruszeniach i logowali się do kont osób, które używały podobnych danych logowania w różnych serwisach. W ubiegłym roku brytyjski urząd ICO nałożył na spółkę karę 2,31 mln funtów, wskazując, że przed incydentem nie zapewniła odpowiedniej ochrony wrażliwych danych. Firma miała niewystarczająco zabezpieczyć proces logowania. Wątpliwości dotyczyły przede wszystkim stosowanych mechanizmów uwierzytelniania oraz sposobów weryfikowania tożsamości klientów.
23andMe znalazło się pod dodatkową obserwacją także po złożeniu w ubiegłym roku wniosku o ochronę przed bankructwem w trybie Chapter 11. Część użytkowników zgłaszała wtedy problemy z usunięciem kont, a niektórzy obawiali się, że ich dane mogłyby trafić do firm ubezpieczeniowych.
