Οι χάκερ κατάφεραν να αποκτήσουν πρόσβαση σε προσωπικές πληροφορίες από περίπου 6,9 εκατομμύρια χρήστες της εταιρείας γενετικών δοκιμών 23andMe, χρησιμοποιώντας παλιούς κωδικούς πρόσβασης πελατών.
Σε ορισμένες περιπτώσεις αυτό περιελάμβανε γενεαλογικά δέντρα, χρόνια γέννησης και γεωγραφικές τοποθεσίες, είπε η εταιρεία.
Μετά από εβδομάδες εικασιών, η εταιρεία έχει βάλει έναν αριθμό για την παραβίαση, με περισσότερους από τους μισούς πελάτες της να επηρεάζονται.
Τα κλεμμένα δεδομένα δεν περιλαμβάνουν αρχεία DNA.
Η 23andMe είναι ένας γίγαντας της αναπτυσσόμενης βιομηχανίας εντοπισμού προγόνων. Προσφέρει γενετικές δοκιμές από DNA, με κατανομή της καταγωγής και εξατομικευμένες γνώσεις για την υγεία.
Η εταιρεία βιοτεχνολογίας, η οποία εδρεύει στο Νότιο Σαν Φρανσίσκο, δεν παραβιάστηκε η ίδια, αλλά εγκληματίες του κυβερνοχώρου συνδέθηκαν σε περίπου 14.000 μεμονωμένους λογαριασμούς, ή στο 0,1% των πελατών, χρησιμοποιώντας στοιχεία email και κωδικού πρόσβασης που είχαν προηγουμένως εκτεθεί σε άλλα hacks.
Η εταιρεία είπε ότι με την πρόσβαση σε αυτούς τους λογαριασμούς, οι χάκερ μπόρεσαν να έχουν πρόσβαση σε «σημαντικό αριθμό αρχείων που περιείχαν πληροφορίες προφίλ σχετικά με την καταγωγή άλλων χρηστών».
Οι εγκληματίες κατέβασαν όχι μόνο τα δεδομένα από αυτούς τους λογαριασμούς, αλλά και τις προσωπικές πληροφορίες όλων των άλλων χρηστών με τους οποίους είχαν συνδέσμους στα μεγάλα οικογενειακά δέντρα στον ιστότοπο.
Τα κλεμμένα δεδομένα περιλαμβάνουν πληροφορίες όπως ονόματα, πώς συνδέεται κάθε άτομο και σε ορισμένες περιπτώσεις χρόνια γέννησης, τοποθεσίες, φωτογραφίες, διευθύνσεις και το ποσοστό του DNA που μοιράζεται με συγγενείς.
Όπως αναφέρθηκε για πρώτη φορά από το TechCrunch, οι χάκερ μπόρεσαν να έχουν πρόσβαση στις πληροφορίες προφίλ του οικογενειακού δέντρου περίπου 1,4 εκατομμυρίων άλλων πελατών που συμμετείχαν στη λειτουργία συγγενών DNA, συμπεριλαμβανομένων εμφανιζόμενων ονομάτων και ετικετών σχέσεων.
Μια παρτίδα δεδομένων διαφημίστηκε σε ένα φόρουμ hacking ως λίστα ατόμων με εβραϊκή καταγωγή, πυροδοτώντας ανησυχίες για στοχευμένες επιθέσεις.
Ωστόσο, δεν υπάρχουν επί του παρόντος στοιχεία ότι κάποια από τα σύνολα δεδομένων που διαφημίζονται είχαν αγοραστές ή ότι έχουν χρησιμοποιηθεί από εγκληματίες.
Ο Oz Alashe, Διευθύνων Σύμβουλος της CybSafe, μιας πλατφόρμας διαχείρισης κινδύνου, δήλωσε ότι η παραβίαση δεδομένων στο 23andMe «τονίζει τη σημασία της βελτίωσης των συμπεριφορών στον κυβερνοχώρο στον γενικό πληθυσμό».
«Οι κακώς ασφαλείς λογαριασμοί, με αδύναμους κωδικούς πρόσβασης και χωρίς έλεγχο ταυτότητας δύο παραγόντων, θέτουν σε κίνδυνο όλους όσους μοιράζονται τα ευαίσθητα δεδομένα τους», είπε.
Η 23andMe είπε ότι τώρα ενημέρωνε όλους τους επηρεαζόμενους πελάτες, όπως απαιτείται από τη νομοθεσία. Η εταιρεία θα αναγκάσει τους πελάτες να αλλάξουν τους κωδικούς πρόσβασής τους και να βελτιώσουν την ασφάλεια του λογαριασμού τους.