A 23andMe revela a extensão do recente ataque hacker à sua plataforma.

A 23andMe divulgou recentemente uma violação de dados na qual hackers obtiveram acesso não autorizado a aproximadamente 14.000 contas de clientes, representando 0,1% de sua extensa base de clientes. Essedent, revelado no início de outubro, evidenciou a exploração de uma técnica conhecida como "dentstuffing", na qual hackers se infiltram em uma conta utilizando uma senha conhecida, possivelmente vazada em outras violações de dados.

A 23andMe afirma que hackers acessaram arquivos sobre a ancestralidade de seus usuários

Os dados comprometidos incluíam informações de ancestralidade dos 14.000 usuários iniciais. Para um subconjunto dessas contas, informações relacionadas à saúde, baseadas na genética dos usuários, também foram expostas. As ramificações, no entanto, foram além dos clientes diretamente afetados. Isso se deve ao recurso "Parentes de DNA" da 23andMe, que permite aos usuários compartilhar informações específicas com outras pessoas que optaram por participar do recurso, criando uma rede de perfis interconectados.

Consequentemente, ao acessar a conta de uma vítima, os hackers poderiam potencialmente visualizar os dados pessoais de indivíduos vinculados a essa vítima inicial. Embora a empresa não tenha fornecido números precisos além dos 14.000 iniciais, reconheceu que um "número significativo" de arquivos contendo informações de perfil sobre a ancestralidade de outros usuários foram comprometidos. Notavelmente, a 23andMe não respondeu às solicitações de esclarecimento sobre esses números, deixando os usuários preocupados com a extensão da violação.

A violação de dados levou a 23andMe a agir imediatamente, recomendando que os usuários redefinissem e alterassem suas senhas. Além disso, a empresa defendeu a implementação da autenticação multifatorial, um passo crucial para reforçar a segurança. Em 6 de novembro, a empresa adotou uma postura mais assertiva, exigindo que todos os usuários utilizassem a verificação em duas etapas, fortalecendo ainda mais a proteção das contas. Uma análise dos dados roubados, posteriormente divulgados em fóruns de hackers, indicou que eles incluíam informações sobre a ancestralidade genética dos usuários.

Consequências do ataque e reações da indústria

Alguns conjuntos de dados coincidiram com detalhes encontrados em registros genealógicos públicos, sugerindo que as informações expostas poderiam estar circulando online há anos. A situação foi agravada pela tentativa de um hacker de vender os supostos registros de milhões de usuários, com preços variando de US$ 1 a US$ 10 por pessoa. A violação inicialmente veio à tona quando hackers anunciaram os dados de um milhão de usuários de ascendência judaica asquenazita e 100 mil usuários chineses em um conhecido fórum de hackers.

Posteriormente, o mesmo hacker ampliou a oferta para incluir mais quatro milhões de registros de usuários. De forma alarmante, outro hacker em um fórum diferente havia afirmado anteriormente possuir 300 terabytes de dados roubados de usuários da 23andMe, buscando uma quantia significativa por todo o banco de dados ou oferecendo subconjuntos para venda. Em resposta a essa ampla exposição de dados, as medidas de segurança da 23andMe evoluíram. A redefinição forçada de senhas e o incentivo à autenticação multifatorial foram medidas iniciais para mitigar o impacto da violação.

A implementação subsequente e obrigatória da verificação em duas etapas teve como objetivo aprimorar a segurança do usuário e impedir o acesso não autorizado. As repercussões da violação de dados foram além da própria empresa. Após o incidente, outras empresas de testes de DNA, como Ancestry e MyHeritage, também tomaram medidas para fortalecer suas estratégias de segurança, tornando obrigatória a autenticação de dois fatores para seus usuários. Esse incidentedent os crescentes desafios enfrentados por empresas que lidam com dados genéticos e pessoais sensíveis, enfatizando a necessidade de medidas robustas de segurança cibernética para proteger as informações do usuário contra agentes maliciosos.