23andMe revela el alcance del reciente hackeo a su plataforma

23andMe reveló recientemente una filtración de datos en la que hackers obtuvieron acceso no autorizado a aproximadamente 14.000 cuentas de clientes, lo que representa el 0,1 % de su extensa base de clientes. Estedent, revelado a principios de octubre, puso de manifiesto la explotación de una técnica conocida como "relleno dedent", en la que los hackers se infiltran en una cuenta utilizando una contraseña conocida, posiblemente filtrada de otras filtraciones.

23andMe afirma que los piratas informáticos accedieron a archivos sobre la ascendencia de los usuarios

Los datos comprometidos incluían información genealógica de los 14.000 usuarios iniciales. Para un subconjunto de estas cuentas, también se expuso información relacionada con la salud basada en la genética de los usuarios. Sin embargo, las repercusionesse extendieron más allá de los clientes directamente afectados. Esto se debe a la función de Parientes de ADN de 23andMe, que permite a los usuarios compartir información específica con otras personas que hayan activado esta función, creando una red de perfiles interconectados.

En consecuencia, al acceder a la cuenta de una víctima, los hackers podrían acceder a los datos personales de las personas vinculadas a esa víctima inicial. Si bien la compañía no proporcionó cifras precisas más allá de las 14.000 iniciales, reconoció que una cantidad significativa de archivos con información de perfil sobre la ascendencia de otros usuarios se vieron comprometidos. Cabe destacar que 23andMe no respondió a las solicitudes de aclaración sobre estas cifras, lo que generó preocupación entre los usuarios sobre el alcance de la filtración.

La filtración de datos provocó la acción inmediata de 23andMe, instando a los usuarios a restablecer y cambiar sus contraseñas. Además, la compañía abogó por la implementación de la autenticación multifactor, un paso crucial para mejorar la seguridad. El 6 de noviembre, la compañía adoptó una postura más firme, exigiendo a todos los usuarios el uso de la verificación en dos pasos, reforzando aún más la protección de las cuentas. Un análisis de los datos robados, posteriormente publicados en foros de hackers, indicó que incluían información sobre la ascendencia genética de los usuarios.

Ramificaciones del ataque y reacciones de la industria

Algunos conjuntos de datos coincidían con los detalles encontrados en registros genealógicos públicos, lo que sugiere que la información expuesta podría haber estado circulando en línea durante años. La situación se agravó cuando un hacker intentó vender los supuestos registros de millones de usuarios, con precios que oscilaban entre 1 y 10 dólares por persona. La filtración se hizo pública inicialmente cuando los hackers anunciaron los datos de un millón de usuarios de ascendencia judía asquenazí y 100.000 usuarios chinos en un conocido foro de hacking.

Posteriormente, el mismo hacker amplió la oferta para incluir cuatro millones de registros de usuarios adicionales. Inquietantemente, otro hacker, en otro foro, había afirmado previamente poseer la enorme cantidad de 300 terabytes de datos robados de usuarios de 23andMe, exigiendo una suma considerable por toda la base de datos u ofreciendo la venta de subconjuntos. En respuesta a esta amplia exposición de datos, las medidas de seguridad de 23andMe evolucionaron. El restablecimiento forzado de contraseñas y el fomento de la autenticación multifactor fueron los primeros pasos para mitigar el impacto de la brecha.

La posterior implementación obligatoria de la verificación en dos pasos tuvo como objetivo mejorar la seguridad de los usuarios y evitar el acceso no autorizado. Las repercusiones de la filtración de datos trascendieron a la propia empresa. Posteriormente, otras empresas de pruebas de ADN, como Ancestry y MyHeritage, también tomaron medidas para reforzar sus medidas de seguridad, exigiendo la autenticación de dos factores a sus usuarios. Este incidentedent de relieve los crecientes desafíos que enfrentan las empresas que gestionan datos genéticos y personales sensibles, y enfatizó la necesidad de contar con sólidas medidas de ciberseguridad para proteger la información de los usuarios de ataques maliciosos.