Калифорния подала в суд на бывшую 23andMe из-за утечки
Генеральный прокурор Калифорнии Роб Бонта подал иск против гиганта генетического тестирования 23andMe, ныне известного как Chrome Holding Co., из-за утечки данных в 2023 году, в результате которой были раскрыты конфиденциальные генетические данные почти 7 миллионов пользователей.
Что произошло
Для 23andMe дела пошли из рук вон плохо. После нескольких месяцев борьбы с последствиями масштабной утечки данных, компания теперь столкнулась с гневом штата Калифорния. Генеральный прокурор Роб Бонта объявил о подаче крупного иска против некогда знаменитой фирмы генетического тестирования, которая теперь работает под названием Chrome Holding Co. Причина? Компания, предположительно, не выполнила свою работу по защите самой личной информации миллионов людей: их данных ДНК.
Это не просто очередной иск в области кибербезопасности. Речь идет о неизменяемом, фундаментальном строительном блоке человека — его генетическом коде. В заявлении офиса Бонты подчеркивается, что 23andMe не смогла внедрить «базовые меры безопасности» против типа атаки, который хорошо известен уже много лет. Другими словами, это не было сюрпризом; это была предсказуемая катастрофа, и компания, по сути, оставила дверь настежь открытой. В иске утверждается, что халатность компании нарушила Калифорнийский закон о конфиденциальности потребителей (CCPA) и другие законы. Это может закончиться не только штрафом; это может создать прецедент, который коренным образом изменит практику обработки данных во всей отрасли. Генеральный прокурор утверждает, что у компании была не только слабая система безопасности, но она также пыталась переложить вину на своих пользователей после утечки, уклоняясь от ответственности. Этот шаг является четким сигналом того, насколько агрессивными становятся штаты в привлечении к ответственности крупных технологических и информационных компаний.
Какие данные были скомпрометированы
Список украденного леденит кровь. Это гораздо больше, чем утечка электронной почты и паролей. Злоумышленники получили доступ к сокровищнице самых личных данных пользователей. Так что же в списке?
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →- Полные имена: Первый шаг к краже личных данных.
- Год рождения: Ключевая информация для социальной инженерии и мошенничества.
- Результаты генетического происхождения: Процентное соотношение этнической принадлежности пользователей. Эта информация может быть использована для дискриминации и преступлений на почве ненависти, особенно против определенных групп.
- Данные о географическом местоположении: Информация о том, откуда родом их предки.
- Фотографии профиля: Прямое нарушение личной жизни.
- Потенциальная информация о здоровье: Данные о здоровье, которые можно было бы предположить на основе результатов тестов на генетическую предрасположенность.
- Семейные связи: Благодаря функции «Родственники по ДНК» утечка данных одного человека означала раскрытие информации о тысячах его родственников.
Помните, вы можете сменить пароль. Вы можете аннулировать свою кредитную карту. Вы не можете изменить свою ДНК. Как только эти данные утекли, они утекли навсегда. Тот факт, что злоумышленники целенаправленно создавали и продавали на форумах в даркнете списки пользователей с ашкеназским еврейским и китайским происхождением, показывает, насколько опасной может стать эта ситуация. Это не что иное, как цифровое этническое профилирование. Мы видим, какую огромную ответственность взяла на себя компания, собирая такие конфиденциальные данные, и как она не смогла ее оправдать. Если следить за последними Novosti ob utechkah, становится яснее, насколько разрушительными могут быть последствия таких утечек генетических данных.
Как произошла атака
В основе защиты компании лежит аргумент: «Наши системы не были взломаны, виноваты пользователи». Так что это значит? Атака была проведена с использованием метода, технически известного как «credential stuffing» (подстановка учетных данных). Это можно сравнить с вором, у которого есть тысячи старых ключей, и он пробует каждый из них на всех дверях в округе.
Вот как это работает: злоумышленники берут миллиарды комбинаций имен пользователей и паролей, полученных из предыдущих утечек данных на других платформах (таких как LinkedIn, MyFitnessPal и т. д.). Затем они используют автоматизированное программное обеспечение, чтобы опробовать эти списки на странице входа 23andMe. Поскольку многие люди повторно используют один и тот же пароль на разных платформах, некоторые из этих попыток оказываются успешными. Так что да, технически, вирус не проник на серверы 23andMe. Но, как указывает генеральный прокурор Бонта, в этом-то и вся проблема. Почему у 23andMe не было адекватной защиты от этого чрезвычайно распространенного и предсказуемого типа атак? Почему она не сделала многофакторную аутентификацию (MFA) обязательной для всех пользователей? В этом суть иска.
Что еще хуже, злоумышленники не остановились, получив доступ к учетной записи. Функция «Родственники по ДНК» в 23andMe позволяет пользователям видеть других людей, с которыми они генетически связаны. Используя небольшое количество взломанных аккаунтов, злоумышленники извлекли данные миллионов связанных пользователей через эту функцию. Таким образом, слабый пароль одного человека привел к краже данных тысяч его родственников. Это демонстрирует, как недостаток в дизайне платформы компании может создать эффект снежного кома.
Кто пострадал
Цифры ошеломляют. В общей сложности от этой утечки пострадали данные примерно 6,9 миллиона человек. Важно разделить эту цифру на две группы:
- Напрямую пострадавшие: Около 1,4 миллиона пользователей. Это лица, чьи учетные записи были непосредственно скомпрометированы в результате атаки с подстановкой учетных данных, что дало злоумышленникам доступ к их самой подробной информации, такой как отчеты о генетическом здоровье.
- Косвенно пострадавшие: Около 5,5 миллиона пользователей. Хотя их учетные записи не были взломаны напрямую, их профильная информация (имя, происхождение, фото профиля и т. д.) была украдена через функцию «Родственники по ДНК».
Это означает, что почти вся база пользователей компании так или иначе пострадала. Одним из самых тревожных аспектов атаки было то, что она была нацелена на определенные этнические группы. В даркнете были выставлены на продажу списки данных специально для пользователей «ашкеназского еврейского» и «китайского» происхождения. Это мрачно иллюстрирует, что киберпреступность больше не связана только с финансовой выгодой; она стала инструментом для ненависти и дискриминации.
Что вы можете сделать
Если вы являетесь или были пользователем 23andMe, есть несколько шагов, которые вы должны предпринять, не паникуя. Вот конкретный, нешаблонный список для вас:
- Узнайте, действительно ли вы пострадали: Проверьте, присылала ли вам компания электронное письмо. Но будьте осторожны с этими письмами, так как фишеры могут их подделывать. Один из самых надежных методов — проверить, появлялся ли ваш адрес электронной почты в других утечках. Для этого вы можете использовать надежный Poisk utechki dannih. Это также даст вам представление о вашей общей цифровой гигиене.
- Немедленно смените пароль и сделайте его уникальным: Немедленно смените свой пароль в 23andMe. Что еще более важно, убедитесь, что этот новый пароль абсолютно уникален и не используется больше нигде. Использование менеджера паролей здесь — спасение.
- Включите многофакторную аутентификацию (MFA): Как подчеркивается в иске, именно это могло бы в значительной степени предотвратить атаку. Зайдите в настройки безопасности своего аккаунта 23andMe и включите MFA (через приложение вроде Google Authenticator или Authy) прямо сейчас. Это предотвратит доступ к вашему аккаунту, даже если ваш пароль будет украден.
- Проверьте настройки «Родственники по ДНК»: Мы видели, какой огромный риск представляла эта функция. Зайдите в свои настройки и пересмотрите свое участие в этой функции. Вы можете ограничить, какая часть ваших данных видна другим пользователям, или полностью отказаться от нее. Ваша конфиденциальность может быть важнее, чем поиск дальнего родственника, о котором вы никогда не знали.
Что говорит компания
Позиция 23andMe с самого начала этого кризиса была весьма спорной. Компания неоднократно утверждала, что ее собственные системы безопасности не были взломаны и что проблема полностью связана с тем, что пользователи использовали слабые и повторяющиеся пароли. Представитель компании делал заявления в духе: «Мы регулярно напоминаем пользователям не использовать пароли повторно и принимать надежные меры безопасности». Хотя технически это правда, общественность восприняла это как «перекладывание вины на клиента», что вызвало значительную негативную реакцию.
Иск генерального прокурора Калифорнии нацелен именно на эту защиту. Юридический аргумент заключается в том, что компания, хранящая самые конфиденциальные данные миллионов людей, обязана предвидеть, что пользователи могут совершать ошибки, и должна внедрять системы (например, обязательную MFA) для их защиты от этих ошибок. Простого «мы их предупредили» недостаточно. Недавняя смена названия компании на Chrome Holding Co. также показательна. Хотя это часть корпоративной реструктуризации, многие интерпретируют этот шаг как попытку освежить имидж и дистанцироваться от запятнанного имени 23andMe. Но смена имени не снимает ответственности. Похоже, этот иск, будь то против старого или нового названия, никуда не денется.