23andMe تكشف عن مدى الاختراق الأخير على منصتها

كشفت 23andMe مؤخراً عن اختراق للبيانات حيث تمكن المخترقون من الوصول غير المصرح به إلى حوالي 14,000 حساب عميل، مما يشكل 0.1% من قاعدة عملائها الواسعة. سلط هذا الحادث، الذي تم الكشف عنه في أوائل أكتوبر، الضوء على استغلال تقنية تُعرف بـ "ملء البيانات الاعتمادية" (Credential Stuffing)، حيث يخترق المخترقون حساباً باستخدام كلمة مرور معروفة، ربما تم تسريبها من اختراقات أخرى.

23andMe تقول إن المخترقين وصلوا إلى ملفات حول أنساب المستخدمين

شملت البيانات المخترقة معلومات الأنساب لأول 14,000 مستخدم. وبالنسبة لمجموعة فرعية من هذه الحسابات، تم أيضاً الكشف عن معلومات صحية تعتمد على الجينات الوراثية للمستخدمين. ومع ذلك، امتدت عواقب الاختراق إلى ما وراء العملاء المتأثرين مباشرة. ويعود ذلك إلى ميزة DNA Relatives في 23andMe، التي تتيح للمستخدمين مشاركة معلومات محددة مع الآخرين الذين اختاروا الانضمام إلى الميزة، مما يخلق شبكة من الملفات الشخصية المترابطة.

وبالتالي، من خلال الوصول إلى حساب ضحية واحدة، يمكن للمخترقين نظرياً عرض البيانات الشخصية للأفراد المرتبطين بتلك الضحية الأولية. وعلى الرغم من أن الشركة لم تقدم أرقاماً دقيقة تتجاوز الـ 14,000 الأولية، فقد أقرت بأن عدداً "كبيراً" من الملفات التي تحتوي على معلومات عن أنساب المستخدمين الآخرين قد تم اختراقها. وتجدر الإشارة إلى أن 23andMe لم ترد على الاستفسارات التي تهدف إلى توضيح هذه الأرقام، مما ترك المستخدمين قلقين بشأن نطاق الاختراق.

أدى الاختراق إلى اتخاذ إجراء فوري من قبل 23andMe، حيث حثت المستخدمين على إعادة تعيين كلمات المرور وتغييرها. علاوة على ذلك، دعت الشركة إلى تنفيذ المصادقة متعددة العوامل، وهي خطوة حاسمة لتعزيز الأمان. وبحلول 6 نوفمبر، اتخذت الشركة موقفاً أكثر حزماً، مطالبة جميع المستخدمين باستخدام المصادقة الثنائية، مما عزز بشكل أكبر حماية حسابات المستخدمين. وأظهر تحليل البيانات المسروقة، التي تم الإعلان عنها لاحقاً على منتديات القرصنة، أنها شملت معلومات حول الأنساب الجينية للمستخدمين.

عواقب الهجوم وردود فعل الصناعة

طابقت مجموعات بيانات معينة التفاصيل الموجودة في سجلات الأنساب العامة، مما يشير إلى أن المعلومات المكشوفة قد تكون كانت متداولة عبر الإنترنت لسنوات. وقد تفاقم الموقف بمحاولة قراصنة لبيع السجلات المزعومة لملايين المستخدمين، بأسعار تتراوح بين 1 و10 دولارات لكل فرد. جاء الاختراق إلى الانتباه العام في البداية عندما أعلن القراصنة عن بيانات مليون مستخدم من أصل يهودي أشكنازي و100,000 مستخدم صيني على منتدى قرصنة معروف.

وبالتالي، وسّع نفس القراصنة العرض ليشمل أربعة ملايين سجل مستخدم إضافي. وبشكل مقلق، ادعى قراصنة آخرون على منتدى مختلف سابقاً أنهم يمتلكون كمية هائلة من بيانات مستخدمين 23andMe المسروقة، تبلغ 300 تيرابايت، ويسعون للحصول على مبلغ كبير مقابل قاعدة البيانات بأكملها أو عرض مجموعات فرعية للبيع. واستجابةً لهذا التعرض الواسع للبيانات، تطورت تدابير الأمان لدى 23andMe. كانت إعادة تعيين كلمات المرور القسرية وتشجيع المصادقة متعددة العوامل خطوات أولية للتخفيف من تأثير الاختراق.

هدفت التنفيذ الإلزامي اللاحق للمصادقة الثنائية إلى تعزيز أمان المستخدم ومنع الوصول غير المصرح به. امتدت تداعيات اختراق 23andMe إلى ما وراء الشركة نفسها. في أعقاب الحادث، اتخذت شركات الاختبار الجيني الأخرى، مثل Ancestry وMyHeritage، خطوات لتعزيز إجراءات الأمان الخاصة بها من خلال إلزام المستخدمين بالمصادقة الثنائية. سلط هذا الحادث الضوء على التحديات المتزايدة التي تواجهها الشركات التي تتعامل مع البيانات الجينية والشخصية الحساسة، مما يؤكد الحاجة إلى تدابير أمنية سيبرانية قوية لحماية معلومات المستخدم من الجهات الخبيثة.