23andMe enthüllt das Ausmaß des jüngsten Hackangriffs auf seine Plattform

23andMe hat kürzlich ein Datenleck bekannt gegeben, bei dem Hacker unbefugten Zugriff auf etwa 14.000 Kundenkonten erlangt haben, was 0,1 % seiner umfangreichen Kundenbasis ausmacht. Dieser Vorfall, der Anfang Oktober aufgedeckt wurde, highlightete die Ausnutzung einer Technik namens „Credential Stuffing“, bei der Hacker ein Konto infiltrieren, indem sie ein bekanntes Passwort verwenden, das möglicherweise aus anderen Lecks stammt.

23andMe sagt, Hacker haben Dateien über die Abstammung der Nutzer accessed

Die kompromittierten Daten umfassten Abstammungsinformationen für die ersten 14.000 Nutzer. Für eine Teilmenge dieser Konten wurden auch gesundheitsbezogene Informationen auf Basis der Genetik der Nutzer offengelegt. Die Auswirkungen des Datenlecks gingen jedoch über die direkt betroffenen Kunden hinaus. Dies liegt an der DNA Relatives-Funktion von 23andMe, die es Nutzern ermöglicht, bestimmte Informationen mit anderen Nutzern zu teilen, die sich für die Funktion registriert haben, wodurch ein Netzwerk verbundener Profile entsteht.

Durch den Zugriff auf das Konto eines Opfers könnten Hacker potenziell die persönlichen Daten von Personen einsehen, die mit diesem ersten Opfer verbunden sind. Während das Unternehmen keine genauen Zahlen jenseits der ursprünglichen 14.000 bereitstellte, räumte es ein, dass eine „beträchtliche Anzahl“ von Dateien mit Profilinformationen über die Abstammung anderer Nutzer kompromittiert wurden. Bemerkenswerterweise reagierte 23andMe nicht auf Anfragen zur Klärung dieser Zahlen, was die Nutzer in Bezug auf das Ausmaß des Lecks besorgt ließ.

Das Datenleck löste sofortige Maßnahmen von 23andMe aus, die Nutzer aufforderten, ihre Passwörter zurückzusetzen und zu ändern. Darüber hinaus förderte das Unternehmen die Implementierung der Multi-Faktor-Authentifizierung, einen entscheidenden Schritt zur Verbesserung der Sicherheit. Bis zum 6. November nahm das Unternehmen eine aggressivere Haltung ein und forderte alle Nutzer auf, die Zwei-Faktor-Authentifizierung zu verwenden, was den Schutz der Nutzerkonten weiter verstärkte. Eine Analyse der gestohlenen Daten, die später auf Hacking-Foren beworben wurden, deutete darauf hin, dass sie Informationen über die genetische Abstammung der Nutzer enthielt.

Auswirkungen des Angriffs und Reaktionen der Branche

Einige Datensätze stimmten mit Details überein, die in öffentlichen Genealogie-Datenbanken gefunden wurden, was darauf hindeutet, dass die offengelegten Informationen möglicherweise seit Jahren online zirkulierten. Die Situation wurde durch den Versuch eines Hackers verschärft, die angeblichen Aufzeichnungen von Millionen von Nutzern zu verkaufen, mit Preisen von 1 bis 10 US-Dollar pro Person. Das Datenleck kam erstmals in die Öffentlichkeit, als Hacker die Daten von einer Million Nutzern jüdischer aschkenasischer Herkunft und 100.000 chinesischer Nutzer auf einem bekannten Hacking-Forum bewarben.

Anschließend erweiterte derselbe Hacker das Angebot um zusätzliche vier Millionen Nutzerdatensätze. Beunruhigenderweise hatte ein anderer Hacker auf einem anderen Forum zuvor behauptet, über massive 300 Terabyte gestohlener 23andMe-Nutzerdaten zu verfügen und suchte eine beträchtliche Summe für die gesamte Datenbank oder bot Teilmengen zum Verkauf an. Als Reaktion auf diese weit verbreitete Datenexposition entwickelten sich die Sicherheitsmaßnahmen von 23andMe weiter. Die erzwungenen Passwortzurücksetzungen und die Förderung der Multi-Faktor-Authentifizierung waren erste Schritte, um die Auswirkungen des Datenlecks zu mildern.

Die darauffolgende verpflichtende Einführung der Zwei-Faktor-Authentifizierung zielte darauf ab, die Nutzerauthentifizierung zu verbessern und unbefugten Zugriff zu verhindern. Die Folgen des 23andMe Datenlecks erstreckten sich über das Unternehmen hinaus. In der Folge ergriffen andere DNA-Testunternehmen wie Ancestry und MyHeritage Schritte, um ihre Sicherheitsmaßnahmen zu verstärken, indem sie die Zwei-Faktor-Authentifizierung für ihre Nutzer verpflichtend machten. Dieser Vorfall unterstrich die wachsenden Herausforderungen, denen Unternehmen gegenüberstehen, die mit sensiblen genetischen und persönlichen Daten umgehen, und betonte die Notwendigkeit robuster Cybersicherheitsmaßnahmen, um Nutzerinformationen vor böswilligen Akteuren zu schützen.