23andMe revela la extensión del reciente hackeo en su plataforma

23andMe reveló recientemente una violación de datos en la que los hackers obtuvieron acceso no autorizado a aproximadamente 14.000 cuentas de clientes, lo que constituye el 0,1% de su amplia base de clientes. Este incidente, revelado a principios de octubre, destacó la explotación de una técnica conocida como 'relleno de credenciales', donde los hackers infiltran una cuenta utilizando una contraseña conocida, posiblemente filtrada de otras violaciones.

23andMe dice que los hackers accedieron a archivos sobre la ascendencia de los usuarios

Los datos comprometidos abarcaban información de ascendencia para los primeros 14.000 usuarios. Para un subconjunto de estas cuentas, también se expuso información relacionada con la salud basada en la genética de los usuarios. Las ramificaciones de la violación, sin embargo, se extendieron más allá de los clientes directamente afectados. Esto se debe a la función DNA Relatives de 23andMe, que permite a los usuarios compartir información específica con otras personas que han optado por participar en la función, creando una red de perfiles interconectados.

En consecuencia, al acceder a la cuenta de una víctima, los hackers podrían potencialmente ver los datos personales de individuos vinculados a esa víctima inicial. Si bien la empresa no proporcionó cifras precisas más allá de los 14.000 iniciales, reconoció que un 'número significativo' de archivos que contenían información de perfil sobre la ascendencia de otros usuarios se vieron comprometidos. Cabe destacar que 23andMe no respondió a las consultas buscando aclaración sobre estas cifras, dejando a los usuarios preocupados por el alcance de la violación.

La violación provocó una acción inmediata de 23andMe, instando a los usuarios a restablecer y cambiar sus contraseñas. Además, la empresa abogó por la implementación de la autenticación multifactor, un paso crucial para mejorar la seguridad. Para el 6 de noviembre, la empresa adoptó una postura más firme, requiriendo que todos los usuarios utilizaran la verificación en dos pasos, fortaleciendo aún más la protección de las cuentas de los usuarios. Un análisis de los datos robados, posteriormente publicitados en foros de hackers, indicó que incluía información sobre la ascendencia genética de los usuarios.

Ramificaciones del ataque y reacciones de la industria

Algunos conjuntos de datos coincidían con detalles encontrados en registros públicos de genealogía, lo que sugiere que la información expuesta podría haber estado circulando en línea durante años. La situación se exacerbó por el intento de un hacker de vender los supuestos registros de millones de usuarios, con precios que oscilaban entre 1 y 10 dólares por individuo. La violación inicialmente llamó la atención del público cuando los hackers publicitaron los datos de un millón de usuarios de ascendencia judía ashkenazí y 100.000 usuarios chinos en un conocido foro de hackers.

Posteriormente, el mismo hacker amplió la oferta para incluir cuatro millones de registros de usuarios adicionales. Perturbadoramente, otro hacker en un foro diferente había afirmado previamente poseer una enorme cantidad de 300 terabytes de datos robados de usuarios de 23andMe, buscando una suma significativa por toda la base de datos o ofreciendo subconjuntos para la venta. Como respuesta a esta exposición generalizada de datos, las medidas de seguridad de 23andMe evolucionaron. Los restablecimientos forzados de contraseñas y el fomento de la autenticación multifactor fueron los pasos iniciales para mitigar el impacto de la violación.

La implementación subsiguiente y obligatoria de la verificación en dos pasos tuvo como objetivo mejorar la seguridad de los usuarios y prevenir el acceso no autorizado. Las repercusiones de la violación de 23andMe breach se extendieron más allá de la propia empresa. Como resultado, otras empresas de pruebas de ADN, como Ancestry y MyHeritage, también tomaron medidas para fortalecer sus medidas de seguridad al exigir la autenticación de dos factores para sus usuarios. Este incidente subrayó los crecientes desafíos que enfrentan las empresas que manejan datos genéticos y personales sensibles, enfatizando la necesidad de medidas robustas de ciberseguridad para proteger la información de los usuarios de actores maliciosos.