23andMe раскрывает масштаб недавней взлома своей платформы

Недавно 23andMe раскрыла информацию о утечке данных, в ходе которой хакеры получили несанкционированный доступ примерно к 14 000 аккаунтов клиентов, что составляет 0,1% от ее обширной клиентской базы. Этот инцидент, ставший известным в начале октября, продемонстрировал эксплуатацию метода, известного как «credential stuffing» (подбор учетных данных), при котором хакеры проникают в аккаунт, используя известный пароль, возможно, утекавший из других взломов.

23andMe сообщает, что хакеры получили доступ к файлам о происхождении пользователей

Скомпрометированные данные включали информацию о происхождении для первых 14 000 пользователей. Для части этих аккаунтов также была раскрыта информация о здоровье, основанная на генетике пользователей. Последствия утечки, однако, вышли за рамки непосредственно затронутых клиентов. Это связано с функцией DNA Relatives от 23andMe, которая позволяет пользователям делиться конкретной информацией с другими, кто также подключил эту функцию, создавая сеть взаимосвязанных профилей.

Следовательно, получив доступ к аккаунту одной жертвы, хакеры потенциально могли просматривать личные данные лиц, связанных с этой первоначальной жертвой. Хотя компания не предоставила точных цифр сверх первоначальных 14 000, она признала, что скомпрометировано «значительное количество» файлов, содержащих информацию о профиле и происхождении других пользователей. Примечательно, что 23andMe не ответила на запросы с просьбой прояснить эти цифры, оставив пользователей обеспокоенными масштабами утечки.

Утечка данных побудила 23andMe к немедленным действиям, призвав пользователей сбросить и изменить свои пароли. Кроме того, компания рекомендовала внедрить многофакторную аутентификацию, что является важным шагом в повышении безопасности. К 6 ноября компания заняла более жесткую позицию, потребовав от всех пользователей использовать двухэтапную проверку, дополнительно укрепив защиту аккаунтов. Анализ украденных данных, позже выставленных на продажу на хакерских форумах, показал, что он включал информацию о генетическом происхождении пользователей.

Последствия атаки и реакция отрасли

Некоторые наборы данных совпадали с деталями, найденными в публичных генеалогических записях, что предполагает, что скомпрометированная информация могла циркулировать в сети в течение многих лет. Ситуация усугубилась попыткой хакера продать предполагаемые записи миллионов пользователей по ценам от 1 до 10 долларов за человека. Изначально утечка стала достоянием общественности, когда хакеры рекламировали данные одного миллиона пользователей еврейского ашкеназского происхождения и 100 000 китайских пользователей на известном хакерском форуме.

Впоследствии тот же хакер расширил предложение, добавив еще четыре миллиона записей пользователей. Тревожно, что другой хакер на другом форуме ранее заявлял о наличии массивных 300 терабайт украденных данных пользователей 23andMe, запрашивая значительную сумму за всю базу данных или предлагая подмножества на продажу. В ответ на эту широкую экспозицию данных меры безопасности 23andMe эволюционировали. Принудительный сброс паролей и поощрение многофакторной аутентификации были первоначальными шагами по смягчению последствий утечки.

Последующее обязательное внедрение двухфакторной аутентификации было направлено на повышение безопасности пользователей и предотвращение несанкционированного доступа. Последствия утечки данных 23andMe распространились за пределы самой компании. В ее aftermath другие компании, предоставляющие услуги ДНК-тестирования, такие как Ancestry и MyHeritage, также предприняли шаги по укреплению своей безопасности, сделав двухфакторную аутентификацию обязательной для своих пользователей. Этот инцидент подчеркнул растущие проблемы, с которыми сталкиваются компании, работающие с чувствительными генетическими и личными данными, подчеркнув необходимость надежных мер кибербезопасности для защиты информации пользователей от злоумышленников.