Kaliforniya Keçmiş 23andMe Şirkətini Məhkəməyə Verir
Kaliforniyanın Baş prokuroru Rob Bonta, indi Chrome Holding Co. kimi tanınan genetik test nəhəngi 23andMe-ni, təxminən 7 milyon istifadəçinin həssas genetik məlumatlarını ifşa edən 2023-cü il sızması ilə bağlı məhkəməyə verib. İddiada şirkətin təhlükəsizlik tədbirlərinin qeyri-kafi olduğu bildirilir.
Nə Baş Verdi
23andMe üçün vəziyyət getdikcə pisləşir. Aylardır məlumat sızması qalmaqalı ilə mübarizə aparan şirkət, indi də Kaliforniya ştatının qəzəbi ilə üz-üzə qalıb. Baş prokuror Rob Bonta, bir vaxtlar məşhur olan, indi isə Chrome Holding Co. adı altında fəaliyyət göstərən genetik test firmasına qarşı ciddi bir iddia qaldırdığını elan etdi. Səbəb? İddialara görə, şirkət milyonlarla insanın ən məhrəm məlumatlarını, yəni DNT məlumatlarını qorumaq üçün üzərinə düşəni etməyib.
Bu, adi bir kiber təhlükəsizlik davası deyil. Mövzu, dəyişdirilməsi mümkün olmayan, insanın ən təməl quruluş daşı olan genetik kodlardır. Bonta-nın ofisindən verilən açıqlamada, 23andMe-nin illərdir bilinən bir hücum növünə qarşı "əsas təhlükəsizlik tədbirlərini" görmədiyi vurğulanır. Yəni, bu bir sürpriz deyildi, gözlənilən bir fəlakət idi və şirkət sanki buna şərait yaratdı. İddia ərizəsində şirkətin səhlənkarlığının Kaliforniyanın İstehlakçı Məxfiliyi Aktını (CCPA) və digər qanunları pozduğu irəli sürülür. Bu, təkcə pul cəzası ilə bitməyə bilər; şirkətin gələcəkdəki məlumat emalı təcrübəsini kökündən dəyişə biləcək bir presedent yarada bilər. Baş prokuror iddia edir ki, şirkət təkcə zəif təhlükəsizlik təcrübələrinə malik olmayıb, həm də sızmadan sonra istifadəçiləri günahlandıraraq məsuliyyətdən yayınmağa çalışıb. Bu addım, ştatların böyük texnologiya və məlumat şirkətlərinə qarşı nə qədər sərtləşə biləcəyinin bir göstəricisidir.
Ələ Keçirilən Məlumatlar
Sızdırılan məlumatların siyahısı adamı dəhşətə gətirir. Bu, bir e-poçt və şifrə sızmasından çox daha artığıdır. Təcavüzkarlar istifadəçilərin ən şəxsi məlumatlarına daxil olublar. Bəs bu siyahıda nələr var?
E-poçtunuz sızdırılıb? Pulsuz yoxlayın — saniyələr içində nəticə.
İndi Yoxla →- Tam Ad və Soyad: Şəxsiyyət oğurluğu üçün ilk addım.
- Doğum İli: Sosial mühəndislik və fırıldaqçılıq üçün açar məlumat.
- Genetik Mənşə Nəticələri: İstifadəçilərin etnik mənşə faizləri. Bu məlumat, xüsusilə müəyyən etnik qruplara qarşı ayrı-seçkilik və nifrət cinayətləri üçün istifadə edilə bilər.
- Coğrafi Məkan Məlumatları: Əcdadlarının haradan gəldiyinə dair məlumatlar.
- Profil Şəkilləri: Şəxsi məxfiliyin birbaşa pozulması.
- Potensial Sağlamlıq Məlumatları: Genetik meyllilik test nəticələri kimi dolayı yolla əldə edilə biləcək sağlamlıq məlumatları.
- Qohumluq Əlaqələri: "DNT Qohumları" xüsusiyyəti sayəsində, bir nəfərin məlumatlarının sızması minlərlə qohumunun da ifşa olması demək idi.
Unutmayın, şifrənizi dəyişə bilərsiniz. Kredit kartınızı ləğv edə bilərsiniz. Amma DNT-nizi dəyişə bilməzsiniz. Bu məlumatlar bir dəfə sızdırıldıqda, əbədi olaraq orada qalır. Təcavüzkarların xüsusilə Aşkenazi Yəhudisi və Çin mənşəli istifadəçilərin məlumatlarını hədəf alaraq siyahılar hazırlayıb qaranlıq veb forumlarında satması, hadisənin nə qədər təhlükəli boyutlara çata biləcəyini göstərir. Bu, rəqəmsal etnik profilinqdən fərqlənmir. Şirkətin bu qədər həssas məlumatı toplayarkən nə qədər böyük bir məsuliyyət daşıdığını və bu məsuliyyəti yerinə yetirə bilmədiyini görürük. Ən son Melumat Sizintisi Xeberler izlənildikdə, bu cür genetik məlumat sızmalarının nəticələrinin nə qədər dağıdıcı ola biləcəyi daha aydın olur.
Hücum Necə Həyata Keçirildi
Şirkətin müdafiəsinin mərkəzində dayanan bir arqument var: "Bizim sistemlərimiz sındırılmayıb, günah istifadəçilərdədir." Bəs bu nə deməkdir? Hücum, texniki adı ilə "credential stuffing" (etimadnamə doldurma) üsulu ilə həyata keçirilib. Bu üsulu bir oğrunun əlindəki minlərlə köhnə açarı bir məhəllədəki bütün qapılarda yoxlamasına bənzətmək olar.
Bu belə işləyir: Təcavüzkarlar, daha əvvəl başqa platformalarda (LinkedIn, MyFitnessPal və s.) baş verən məlumat sızmalarından əldə etdikləri milyardlarla istifadəçi adı və şifrə kombinasiyasını götürürlər. Sonra bu siyahıları avtomatlaşdırılmış proqramlar vasitəsilə 23andMe-nin giriş səhifəsində yoxlayırlar. Bir çox insan fərqli platformalarda eyni şifrədən istifadə etdiyi üçün bu cəhdlərin bir hissəsi uğurlu olur. Yəni bəli, texniki olaraq 23andMe-nin serverlərinə bir virus daxil olmayıb. Amma Baş prokuror Bonta-nın da qeyd etdiyi kimi, əsl problem elə budur. Niyə 23andMe bu son dərəcə yayılmış və proqnozlaşdırıla bilən hücum növünə qarşı kifayət qədər tədbir görməyib? Niyə çoxfaktorlu autentifikasiyanı (MFA) bütün istifadəçilər üçün məcburi etməyib? Bax, iddianın əsas nöqtəsi budur.
Daha da pisi, təcavüzkarlar bir hesaba daxil olduqdan sonra dayanmadılar. 23andMe-nin "DNT Qohumları" xüsusiyyəti, istifadəçilərə genetik olaraq bağlı olduqları digər insanları görməyə imkan verir. Təcavüzkarlar, ələ keçirdikləri az sayda hesabı istifadə edərək bu xüsusiyyət vasitəsilə milyonlarla əlaqəli istifadəçinin məlumatlarını topladılar (scraping). Yəni bir nəfərin zəif şifrəsi, minlərlə qohumunun məlumatlarının da oğurlanmasına səbəb oldu. Bu, şirkətin platform dizaynındakı bir zəifliyin necə bir qar topu effekti yaratdığını göstərir.
Kimlər Təsirləndi
Rəqəmlər nəhəngdir. Ümumilikdə təxminən 6.9 milyon nəfərin məlumatları bu sızmadan təsirlənib. Bu rəqəmi iki yerə ayırmaq lazımdır:
- Birbaşa Təsirlənənlər: Təxminən 1.4 milyon istifadəçi. Bunlar, "credential stuffing" hücumu nəticəsində hesablarına birbaşa müdaxilə edilən və genetik sağlamlıq hesabatları kimi ən detallı məlumatlarına giriş əldə edilən şəxslərdir.
- Dolayı Təsirlənənlər: Təxminən 5.5 milyon istifadəçi. Bu şəxslərin hesabları birbaşa sındırılmasa da, "DNT Qohumları" xüsusiyyəti vasitəsilə profil məlumatları (ad, mənşə, profil şəkli və s.) oğurlanıb.
Bu, demək olar ki, şirkətin bütün istifadəçi bazasının bir şəkildə təsirləndiyi anlamına gəlir. Hücumun ən narahatedici tərəflərindən biri isə, təcavüzkarların müəyyən etnik qrupları hədəf alması idi. Qaranlıq vebdə xüsusilə "Aşkenazi Yəhudisi" və "Çinli" mənşəli istifadəçilərə aid məlumat siyahıları satışa çıxarıldı. Bu vəziyyət, kiber cinayətin artıq təkcə maliyyə mənfəəti məqsədi daşımadığını, eyni zamanda nifrət və ayrı-seçkilik üçün bir vasitəyə çevrildiyini acı bir şəkildə ortaya qoyur.
Nə Edə Bilərsiniz
Əgər bir 23andMe istifadəçisisinizsə və ya keçmişdə istifadə etmisinizsə, təşvişə düşmədən atmanız lazım olan bəzi addımlar var. Budur sizə özəl, klişe olmayan bir siyahı:
- Həqiqətən Təsirlənib-Təsirlənmədiyinizi Öyrənin: Şirkətin sizə bir e-poçt göndərib-göndərmədiyini yoxlayın. Ancaq bu e-poçtlara da diqqətli olun, fırıldaqçılar bu vəziyyəti təqlid edə bilərlər. Ən etibarlı yollardan biri, e-poçt ünvanınızın başqa sızmalarda olub-olmadığını yoxlamaqdır. Bunun üçün etibarlı bir Melumat Sizintisi Sorgusu alətindən istifadə edə bilərsiniz. Bu, ümumi rəqəmsal gigiyenanız haqqında da sizə fikir verəcək.
- Şifrənizi Dərhal Dəyişin və Fərqləndirin: 23andMe şifrənizi dərhal dəyişin. Amma daha vacibi, bu şifrənin başqa heç bir yerdə istifadə etmədiyiniz, tamamilə unikal bir şifrə olduğundan əmin olun. Bir şifrə meneceri istifadə etmək bu məqamda həyat qurtarır.
- Çoxfaktorlu Autentifikasiyanı (MFA) Aktivləşdirin: İddia sənədinin də vurğuladığı kimi, bu hücumun qarşısını böyük ölçüdə ala biləcək tək şey bu idi. 23andMe hesabınızın təhlükəsizlik parametrlərinə daxil olun və MFA-nı (Google Authenticator, Authy kimi bir tətbiq vasitəsilə) dərhal aktivləşdirin. Bu, şifrəniz oğurlansa belə hesabınıza daxil olmağın qarşısını alar.
- 'DNT Qohumları' Parametrlərini Nəzərdən Keçirin: Bu xüsusiyyətin nə qədər böyük bir risk yaratdığını gördük. Parametrlərinizə gedib bu xüsusiyyətdə iştirakınızı nəzərdən keçirin. Məlumatlarınızın digər istifadəçilər tərəfindən nə qədərinin görünə biləcəyini məhdudlaşdıra və ya xüsusiyyəti tamamilə bağlaya bilərsiniz. Məxfiliyiniz, tanımadığınız uzaq bir qohumunuzu tapmaqdan daha vacib ola bilər.
Şirkət Nə Deyir
23andMe-nin böhranın əvvəlindən bəri tutduğu mövqe olduqca mübahisəlidir. Şirkət dəfələrlə öz təhlükəsizlik sistemlərinin pozulmadığını, problemin tamamilə istifadəçilərin zəif və təkrarlanan şifrələr istifadə etməsindən qaynaqlandığını müdafiə edib. Bir nümayəndələri, "İstifadəçiləri şifrələrini təkrar istifadə etməmələri və güclü təhlükəsizlik tədbirləri görmələri barədə mütəmadi olaraq xəbərdar edirik" kimi açıqlamalar verib. Bu, texniki olaraq doğru olsa da, ictimaiyyətdə "günahı müştəriyə atmaq" kimi qəbul edildi və böyük reaksiya doğurdu.
Kaliforniya Baş prokurorunun iddiası da məhz bu müdafiəni hədəf alır. Hüquqi arqument budur: Milyonlarla insanın ən həssas məlumatını əlində saxlayan bir şirkət, istifadəçilərin səhv edə biləcəyini qabaqcadan görməli və onlara qarşı onları qoruyacaq sistemlər (məcburi MFA kimi) qurmaqla mükəlləfdir. Sadəcə "biz xəbərdarlıq etdik" demək kifayət deyil. Şirkətin bu yaxınlarda adını Chrome Holding Co. olaraq dəyişdirməsi də mənalıdır. Bu addım, korporativ bir yenidənqurmanın bir hissəsi olsa da, bir çox insan bunu 23andMe adının ləkələnməsindən sonra bir imic təzələmə və qalmaqaldan uzaqlaşma cəhdi kimi şərh edir. Ancaq ad dəyişdirmək, məsuliyyətləri aradan qaldırmır. Görünür, bu iddia, köhnə ad və ya yeni ad demədən, şirkətin arxasınca düşəcək.