23andMe、プラットフォームでの最近のハッキングの規模を明らかに

23andMeは最近、ハッカーが約1万4,000人の顧客アカウントに不正アクセスしたデータ侵害を明らかにしました。これは、その広範な顧客ベースの0.1%に相当します。10月初旬に明らかにされたこの事件は、「クレデンシャルスタッフィング」と呼ばれる手法の悪用を浮き彫りにしました。これは、ハッカーが他の侵害から漏洩した可能性のある既知のパスワードを使用してアカウントに侵入する手法です。

23andMe、ハッカーがユーザーの系譜に関するファイルにアクセスしたと主張

侵害されたデータには、最初の1万4,000人のユーザーの系譜情報が含まれていました。これらのアカウントの一部では、ユーザーの遺伝子に基づいた健康関連情報も漏洩しました。しかし、この侵害の影響は、直接影響を受けた顧客を超えて広がりました。これは、23andMeの「DNA Relatives」機能が、この機能にオプトインした他のユーザーと特定の情報を共有できるようにし、相互につながったプロファイルのネットワークを作成しているためです。

結果として、ハッカーは1人の被害者のアカウントにアクセスすることで、その最初の被害者と関連付けられた個人の個人データを表示できる可能性があります。同社は最初の1万4,000人を超える正確な数字を提供しませんでしたが、他のユーザーの系譜に関するプロファイル情報を含む「多数」のファイルが侵害されたことを認めています。注目すべきは、23andMeがこれらの数字に関する明確化を求める問い合わせに応答しなかったことです。これにより、ユーザーは侵害の範囲について懸念を抱いています。

この侵害を受け、23andMeは直ちに行動を起こし、ユーザーにパスワードのリセットと変更を促しました。さらに、同社はセキュリティを強化するための重要なステップである多要素認証の実装を推奨しました。11月6日までに、同社はより強硬な姿勢を取り、すべてのユーザーに二段階認証の使用を義務付け、ユーザーアカウントの保護をさらに強化しました。ハッキングフォーラムで later に販売されていた盗まれたデータの分析によると、そこにはユーザーの遺伝的系譜に関する情報が含まれていました。

攻撃の影響と業界の反応

一部のデータセットは公的な系譜記録に見られる詳細と一致しており、露見した情報が何年もオンラインで流通していた可能性があります。この状況は、ハッカーが推定される数百万人のユーザーの記録を、個人あたり1〜10ドルの価格で販売しようとしたことで悪化しました。この侵害は、ハッカーが有名なハッキングフォーラムで、ユダヤ系アシュケナジー系ユーザー100万人と中国人ユーザー10万人のデータを宣伝したことで、初めて公の注目を集めました。

その後、同じハッカーは、さらに400万人分のユーザー記録を含むオファーに拡大しました。不気味なことに、別のフォーラムの別のハッカーは、以前に23andMeユーザーデータの巨大な300テラバイトを所持しており、データベース全体またはサブセットの販売を求めて多額の金額を要求していたと主張していました。この広範なデータ露出に対応して、23andMeのセキュリティ対策が進化しました。強制パスワードリセットと多要素認証の推奨は、侵害の影響を軽減するための初期の措置でした。

その後、ユーザーのセキュリティを強化し、不正アクセスを防ぐために、二段階認証の必須導入が実施されました。23andMeの侵害の余波は、同社自体を超えて広がりました。その後の対応として、AncestryやMyHeritageなどの他のDNA検査会社も、ユーザーに対して二段階認証を義務付けることで、セキュリティ対策を強化する措置を講じました。この事件は、機密性の高い遺伝情報や個人データを扱う企業が直面する課題の増大を浮き彫りにし、悪意のある攻撃者からユーザー情報を保護するための堅牢なサイバーセキュリティ対策の必要性を強調しました。