23andMe rivela l'entità del recente hack sulla sua piattaforma

23andMe ha recentemente segnalato una violazione dei dati in cui gli hacker hanno ottenuto l'accesso non autorizzato a circa 14.000 account di clienti, pari allo 0,1% della sua vasta base di utenti. Questo incidente, reso pubblico all'inizio di ottobre, ha messo in luce lo sfruttamento di una tecnica nota come "credential stuffing", mediante la quale gli hacker infiltrano un account utilizzando una password nota, potenzialmente trapelata da altre violazioni.

23andMe afferma che gli hacker hanno accesso ai file relativi all'ascendenza degli utenti

I dati compromessi includevano informazioni genealogiche per i primi 14.000 utenti. Per un sottoinsieme di questi account, erano state esposte anche informazioni sulla salute basate sulla genetica degli utenti. Le ramificazioni della violazione, tuttavia, si sono estese oltre i clienti direttamente interessati. Questo è dovuto alla funzione DNA Relatives di 23andMe, che consente agli utenti di condividere informazioni specifiche con altri che hanno optato per la funzione, creando una rete di profili interconnessi.

Di conseguenza, accedendo all'account di una vittima, gli hacker potrebbero potenzialmente visualizzare i dati personali di individui collegati a quella vittima iniziale. Sebbene l'azienda non abbia fornito cifre precise oltre le iniziali 14.000, ha riconosciuto che un "numero significativo" di file contenenti informazioni sul profilo relativo all'ascendenza di altri utenti è stato compromesso. È notevole il fatto che 23andMe non abbia risposto alle richieste di chiarimenti su queste cifre, lasciando gli utenti preoccupati per l'entità della violazione.

La violazione ha indotto 23andMe ad agire immediatamente, esortando gli utenti a reimpostare e modificare le proprie password. Inoltre, l'azienda ha raccomandato l'implementazione dell'autenticazione a più fattori, un passo cruciale per migliorare la sicurezza. Entro il 6 novembre, l'azienda ha adottato una posizione più rigorosa, obbligando tutti gli utenti a utilizzare la verifica in due passaggi, rafforzando ulteriormente la protezione degli account degli utenti. Un'analisi dei dati rubati, successivamente pubblicizzati sui forum di hacker, ha indicato che includevano informazioni sull'ascendenza genetica degli utenti.

Ripercussioni dell'attacco e reazioni del settore

Alcuni set di dati corrispondevano a dettagli presenti in registri genealogici pubblici, suggerendo che le informazioni esposte potessero circolare online da anni. La situazione è stata aggravata dal tentativo di un hacker di vendere i presunti record di milioni di utenti, con prezzi che variavano da 1 a 10 dollari per individuo. La violazione è venuta alla luce quando gli hacker hanno pubblicizzato i dati di un milione di utenti di discendenza ebraica ashkenazita e di 100.000 utenti cinesi su un noto forum di hacker.

Successivamente, lo stesso hacker ha ampliato l'offerta includendo ulteriori quattro milioni di record di utenti. In modo inquietante, un altro hacker su un forum diverso aveva precedentemente affermato di possedere una massiccia quantità di 300 terabyte di dati rubati di utenti 23andMe, chiedendo una somma considerevole per l'intero database o offrendo sottoinsiemi in vendita. In risposta a questa vasta esposizione dei dati, le misure di sicurezza di 23andMe sono evolute. Le reimpostazioni forzate delle password e l'incoraggiamento all'autenticazione a più fattori sono stati i primi passi per mitigare l'impatto della violazione.

La successiva implementazione obbligatoria della verifica in due passaggi mirava a migliorare la sicurezza degli utenti e prevenire l'accesso non autorizzato. Le ripercussioni della violazione di 23andMe si sono estese oltre l'azienda stessa. Nel suo seguito, altre società di test del DNA, come Ancestry e MyHeritage, hanno anche preso provvedimenti per rafforzare le loro misure di sicurezza obbligando l'autenticazione a due fattori per i loro utenti. Questo incidente ha sottolineato le crescenti sfide affrontate dalle aziende che gestiscono dati genetici e personali sensibili, sottolineando la necessità di robuste misure di cybersecurity per proteggere le informazioni degli utenti da attori malintenzionati.