23andMe, 최근 플랫폼 해킹의 범위 공개

23andMe는 해커가 약 14,000명의 고객 계정에 무단 접근한 데이터 유출 사건을 최근 공개했으며, 이는 광범위한 고객 기반의 0.1%를 구성합니다. 이 사건은 10월 초에 공개되었으며, 해커가 다른 유출에서 유출된 알려진 비밀번호를 사용하여 계정에 침투하는 '크레덴셜 스푸핑'이라는 기법을 악용했음을 강조했습니다.

23andMe, 해커가 사용자의 계보에 대한 파일에 접근했다고 말함

침해된 데이터에는 초기 14,000명의 사용자에 대한 계보 정보가 포함되었습니다. 이러한 계정 중 하위 집합에 대해서는 사용자의 유전학에 기반한 건강 관련 정보도 노출되었습니다. 그러나 이 침해의 영향은 직접적으로 영향을 받은 고객을 넘어 확장되었습니다. 이는 23andMe의 DNA Relatives 기능이 사용자가 이 기능에 동의한 다른 사용자와 특정 정보를 공유할 수 있게 하여 연결된 프로필의 네트워크를 생성하기 때문입니다.

결과적으로, 해커는 한 피해자의 계정에 접근함으로써 해당 초기 피해자와 연결된 개인의 개인 데이터를 볼 수 있었습니다. 회사는 초기 14,000명 이상의 정확한 수치를 제공하지 않았지만, 다른 사용자의 계보에 대한 프로필 정보가 포함된 파일의 '상당한 수'가 침해되었음을 인정했습니다. 주목할 만한 점은 23andMe가 이러한 수치에 대한 명확화를 요청하는 문의에 응답하지 않아 사용자들이 침해의 범위에 대해 우려하고 있다는 것입니다.

이 침해는 23andMe의 즉각적인 조치를 촉발했으며, 사용자에게 비밀번호를 재설정하고 변경할 것을 촉구했습니다. 또한, 회사는 보안 강화를 위한 중요한 단계인 다중 요소 인증의 구현을 권장했습니다. 11월 6일까지 회사는 모든 사용자가 2단계 인증을 사용하도록 요구하며 사용자 계정 보호를 더욱 강화했습니다. 해킹 포럼에서 나중에 광고된 도난 데이터 분석은 사용자 유전적 계보에 대한 정보를 포함하고 있음을 나타냈습니다.

공격의 영향 및 업계 반응

일부 데이터 세트는 공개 유전학 기록에서 발견된 세부 사항과 일치했으며, 노출된 정보가 수년간 온라인에서 순환했을 가능성을 시사합니다. 해커가 수백만 명의 사용자의 alleged 기록을 1인당 1달러에서 10달러의 가격으로 판매하려는 시도는 상황을 악화시켰습니다. 이 침해는 해커들이 잘 알려진 해킹 포럼에서 유대인 아슈케나즈 계통의 100만 명과 중국인 10만 명의 데이터를 광고했을 때 처음 대중의 주목을 받았습니다.

이후 동일한 해커는 추가로 400만 명의 사용자 기록을 포함하도록 제안을 확장했습니다. disturbing하게도, 다른 포럼의 또 다른 해커는 이전에 23andMe 사용자 데이터의 거대한 300테라바이트를 보유하고 있다고 주장하며 전체 데이터베이스에 대해 상당한 금액을 요구하거나 하위 집합을 판매하려고 했습니다. 이러한 광범위한 데이터 노출에 대응하여 23andMe의 보안 조치가 진화했습니다. 강제 비밀번호 재설정과 다중 요소 인증의 장려는 침해의 영향을 완화하기 위한 초기 단계였습니다.

이후 의무화된 2단계 인증의 구현은 사용자 보안을 강화하고 무단 접근을 방지하기 위한 것이었습니다. 23andMe 침해의 여파는 회사 자체를 넘어 확장되었습니다. 이후 Ancestry 및 MyHeritage와 같은 다른 DNA 테스트 회사들도 사용자에게 2단계 인증을 의무화하여 보안 조치를 강화했습니다. 이 사건은 민감한 유전적 및 개인 데이터를 다루는 회사가 직면한 성장하는 도전을 강조하며, 악의적인 행위자로부터 사용자 정보를 보호하기 위한 강력한 사이버 보안 조치의 필요성을 강조합니다.