23andMe revela a extensão do recente hack em sua plataforma

A 23andMe divulgou recentemente um vazamento de dados no qual hackers obtiveram acesso não autorizado a aproximadamente 14.000 contas de clientes, constituindo 0,1% de sua extensa base de clientes. Este incidente, revelado no início de outubro, destacou a exploração de uma técnica conhecida como “credential stuffing” (injeção de credenciais), onde hackers infiltram uma conta utilizando uma senha conhecida, possivelmente vazada em outros vazamentos.

23andMe diz que hackers acessaram arquivos sobre a ancestralidade dos usuários

Os dados comprometidos abrangiam informações de ancestralidade dos primeiros 14.000 usuários. Para um subconjunto dessas contas, informações de saúde baseadas na genética dos usuários também foram expostas. As ramificações do vazamento, no entanto, estenderam-se além dos clientes diretamente afetados. Isso se deve ao recurso DNA Relatives da 23andMe, que permite aos usuários compartilhar informações específicas com outras pessoas que optaram por usar o recurso, criando uma rede de perfis interconectados.

Consequentemente, ao acessar a conta de uma vítima, os hackers poderiam potencialmente visualizar os dados pessoais de indivíduos vinculados a essa vítima inicial. Embora a empresa não tenha fornecido cifras precisas além dos 14.000 iniciais, reconheceu que um “número significativo” de arquivos contendo informações de perfil sobre a ancestralidade de outros usuários foram comprometidos. Notavelmente, a 23andMe não respondeu a perguntas buscando esclarecimentos sobre essas cifras, deixando os usuários preocupados com o alcance do vazamento.

O vazamento levou a uma ação imediata da 23andMe, instando os usuários a redefinir e alterar suas senhas. Além disso, a empresa defendeu a implementação da autenticação multifator, um passo crucial para melhorar a segurança. Em 6 de novembro, a empresa adotou uma postura mais assertiva, exigindo que todos os usuários usassem a verificação em duas etapas, fortalecendo ainda mais a proteção das contas dos usuários. Uma análise dos dados roubados, posteriormente anunciados em fóruns de hackers, indicou que incluíam informações sobre a ancestralidade genética dos usuários.

Ramificações do ataque e reações da indústria

Alguns conjuntos de dados correspondiam a detalhes encontrados em registros públicos de genealogia, sugerindo que as informações expostas podem ter circulado online por anos. A situação foi exacerbada pela tentativa de um hacker de vender os supostos registros de milhões de usuários, com preços variando de US$ 1 a US$ 10 por indivíduo. O vazamento chamou a atenção do público inicialmente quando hackers anunciaram os dados de um milhão de usuários de ascendência judaica ashkenazi e 100.000 usuários chineses em um fórum de hackers bem conhecido.

Subsequentemente, o mesmo hacker expandiu a oferta para incluir mais quatro milhões de registros de usuários. Perturbadoramente, outro hacker em um fórum diferente havia anteriormente afirmado possuir uma massa de 300 terabytes de dados roubados de usuários da 23andMe, buscando uma soma significativa por todo o banco de dados ou oferecendo subconjuntos à venda. Em resposta a esta exposição generalizada de dados, as medidas de segurança da 23andMe evoluíram. As redefinições forçadas de senha e o incentivo à autenticação multifator foram passos iniciais para mitigar o impacto do vazamento.

A implementação subsequente obrigatória da verificação em duas etapas visava melhorar a segurança do usuário e prevenir acessos não autorizados. As repercussões do vazamento da 23andMe estenderam-se além da própria empresa. No rescaldo, outras empresas de testes de DNA, como Ancestry e MyHeritage, também tomaram medidas para fortalecer suas medidas de segurança, exigindo autenticação de dois fatores para seus usuários. Este incidente destacou os crescentes desafios enfrentados por empresas que lidam com dados genéticos e pessoais sensíveis, enfatizando a necessidade de robustas medidas de cibersegurança para proteger as informações dos usuários contra agentes maliciosos.